Una empresa ejecuta cargas de trabajo solo en la región us-east-1 y ahora necesita replicar sus cargas de trabajo e infraestructura en la región us-west-1. Un ingeniero de seguridad debe implementar AWS Secrets Manager para almacenar secretos en ambas regiones, cifrados con AWS Key Management Service (AWS KMS). La solución debe minimizar la latencia y seguir funcionando si solo una región está disponible. Los secretos se han creado en us-east-1. ¿Qué debe hacer a continuación el ingeniero de seguridad?

La opción correcta es cifrar los secretos en us-east-1 con una clave KMS administrada por el cliente (CMK) y luego replicar esos secretos en us-west-1, cifrándolos con la réplica de la CMK multirregional. Esto asegura que los secretos estén disponibles y descifrables en ambas regiones de forma independiente, minimizando la latencia al acceder a ellos localmente y manteniendo la funcionalidad si una región falla. Las opciones incorrectas: Usar claves KMS administradas por AWS no permite la replicación de claves multirregionales, lo que dificultaría la recuperación de secretos en la región secundaria. Configurar us-west-1 para llamar al endpoint de us-east-1 introduce latencia y un punto único de fallo, lo cual va en contra de los requisitos de alta disponibilidad y baja latencia.