Una aplicación utiliza AWS KMS para cifrar datos antes de colocarlos en un bucket de Amazon S3 en una región de AWS. La política de la empresa exige que los datos se cifren antes de la carga y que la aplicación los descifre al leerlos. El bucket de S3 se replica en otras regiones. La aplicación debe poder cifrar y descifrar los datos en todas las regiones y utilizar la misma clave para el descifrado en cada región. ¿Qué solución cumple estos requisitos?

La creación de una clave principal multirregión de KMS y sus réplicas en cada región adicional permite que la misma clave se utilice para cifrar y descifrar datos en todas las regiones, cumpliendo con el requisito de usar la misma clave para el descifrado. La aplicación se actualiza para usar la clave de réplica específica de cada región, manteniendo la consistencia. Las otras opciones no cumplen con los requisitos: Crear claves KMS independientes en cada región resultaría en claves diferentes, lo que violaría el requisito de usar la misma clave para el descifrado. AWS Private Certificate Authority no se utiliza para el cifrado de datos en S3, sino para la gestión de certificados. Exportar material de clave de KMS y almacenarlo en Parameter Store no es una práctica segura ni recomendada para la gestión de claves de cifrado, y no proporciona la funcionalidad de KMS multirregión.