Voxel Media aloja un data lake con miles de millones de objetos pequeños en Amazon S3 utilizando SSE-KMS con una CMK administrada por el cliente. Recientemente, los cargos por solicitudes de KMS se dispararon y se produjo una limitación ocasional durante ráfagas intensas de PUT/GET. Deben mantener SSE-KMS. ¿Cuál es el cambio más efectivo para reducir las solicitudes y los costos de KMS sin alterar la postura de cumplimiento?

Habilitar S3 Bucket Keys es la solución más efectiva porque reduce significativamente el número de solicitudes directas a KMS. En lugar de que cada objeto individual realice una solicitud a KMS para el cifrado/descifrado, S3 genera una clave de bucket de corta duración desde KMS y la utiliza para cifrar/descifrar múltiples objetos dentro de ese bucket. Esto reduce drásticamente el tráfico a KMS y, por lo tanto, los costos y la probabilidad de limitación, manteniendo el cumplimiento con SSE-KMS. Cambiar a SSE-S3 no es una opción viable porque el requisito es mantener SSE-KMS. Solicitar una cuota de KMS más alta puede mitigar la limitación, pero no reduce el número de solicitudes ni los costos asociados, solo permite más solicitudes. Migrar a cifrado del lado del cliente con claves administradas por KMS aún implicaría solicitudes a KMS por cada operación de objeto, lo que no resolvería el problema de la cantidad de solicitudes y podría añadir complejidad.