Una empresa debe mantener las claves criptográficas en su administrador de claves on-premises debido a requisitos regulatorios. El administrador de claves on-premises está fuera de la Nube de AWS. La empresa quiere gestionar el cifrado y descifrado utilizando claves retenidas fuera de AWS y que soporten varios administradores de claves externos de diferentes proveedores. ¿Qué solución cumple estos requisitos con la MENOR sobrecarga operativa?

La opción correcta es usar un almacén de claves externo de AWS Key Management Service (AWS KMS) respaldado por un administrador de claves externo. Esta solución permite a la empresa mantener las claves criptográficas en su administrador de claves on-premises, fuera de la Nube de AWS, cumpliendo con los requisitos regulatorios. KMS External Key Store (XKS) integra AWS KMS con administradores de claves externos, permitiendo que las operaciones de cifrado y descifrado se realicen con claves que nunca salen del entorno on-premises del cliente. Esto ofrece la menor sobrecarga operativa porque AWS KMS gestiona la integración y el flujo de trabajo, mientras que las claves permanecen bajo el control del cliente. Las otras opciones son incorrectas: Usar un almacén de claves de AWS CloudHSM respaldado por un clúster de CloudHSM implica que las claves residen en un HSM gestionado por AWS, no on-premises. Usar el almacén de claves administrado predeterminado de AWS Key Management Service (AWS KMS) significa que AWS gestiona las claves, lo cual no cumple con el requisito de mantener las claves on-premises. Usar un almacén de claves personalizado respaldado por un clúster de AWS CloudHSM también implica que las claves están en AWS CloudHSM, no en un administrador de claves on-premises.