Una empresa utiliza AWS Key Management Service (AWS KMS). Al intentar adjuntar un volumen cifrado de Amazon Elastic Block Store (Amazon EBS) a una instancia de Amazon EC2, el adjunto falla. La empresa descubre que una clave administrada por el cliente se ha vuelto inutilizable porque su material de clave importado fue eliminado. Se necesitan los datos del volumen de EBS. Un ingeniero de seguridad debe recomendar una forma de descifrar la clave de datos cifrados del volumen y adjuntar el volumen. ¿Qué solución cumplirá estos requisitos?

Cuando el material de clave importado de una clave KMS se elimina, la clave se vuelve inutilizable. Para descifrar datos cifrados con esa clave, es necesario reimportar exactamente el mismo material de clave que se usó originalmente. AWS KMS no permite importar material de clave diferente a una clave KMS existente si el material original fue eliminado, ni tampoco permite que una clave KMS existente utilice material de clave nuevo para descifrar datos cifrados con material anterior. Una vez reimportado el material de clave original, la clave KMS funcionará nuevamente y permitirá adjuntar el volumen de EBS. Las otras opciones son incorrectas porque: Importar nuevo material de clave en la clave KMS existente: Esto no es posible; se debe reimportar el material original. Restaurar el volumen de EBS a partir de una instantánea: Esto podría funcionar si la instantánea no estuviera cifrada con la clave problemática o si se pudiera restaurar a un estado anterior, pero no resuelve el problema de la clave KMS en sí y podría resultar en pérdida de datos recientes. Crear una nueva clave KMS, importar nuevo material de clave: Los datos del volumen de EBS están cifrados con la clave KMS original. Una nueva clave KMS no puede descifrar datos cifrados con una clave diferente.