Un equipo de desarrollo está creando una aplicación de cadena de suministro que almacena datos de inventario confidenciales en un bucket de Amazon S3. Los datos se cifrarán con una clave administrada por el cliente de AWS Key Management Service (AWS KMS). Los datos deben compartirse con cientos de proveedores, cada uno utilizando entidades principales de sus propias cuentas de AWS. La lista de proveedores cambiará semanalmente. La solución debe admitir el acceso entre cuentas con una sobrecarga operativa mínima. ¿Cuál es la forma más eficiente de gestionar el control de acceso a las claves?

Las concesiones de KMS son la forma más eficiente de gestionar el acceso a las claves KMS para cientos de entidades principales de diferentes cuentas de AWS que cambian semanalmente. Permiten otorgar permisos temporales y específicos para operaciones criptográficas sin modificar la política de clave principal. Se pueden crear y revocar mediante programación, lo que minimiza la sobrecarga operativa para un entorno dinámico. Actualizar políticas de roles de IAM o políticas de clave de KMS para cada cambio de proveedor sería ineficiente y propenso a errores, ya que estas políticas son documentos JSON que pueden volverse complejos y difíciles de gestionar con frecuentes modificaciones. El acceso delegado entre cuentas con roles de IAM es adecuado para escenarios de acceso más estables o menos granulares, pero no para la gestión dinámica de cientos de proveedores que necesitan acceso a una clave KMS específica.