HealthSync utilise une clé KMS symétrique gérée par le client avec un matériau de clé importé (origine EXTERNAL) pour chiffrer les données d'application. Un nouveau contrôle de conformité exige une rotation annuelle automatique gérée par AWS avec un minimum de frais opérationnels. Quelle est la meilleure approche pour répondre à cette exigence ?

L'option correcte est de créer une nouvelle clé KMS symétrique gérée par le client avec un matériau de clé généré par AWS et d'activer la rotation automatique. Les clés KMS avec un matériau de clé importé (origine EXTERNAL) ne prennent pas en charge la rotation automatique gérée par AWS. En utilisant un alias, les applications peuvent continuer à référencer le même alias sans modification, tandis que l'alias pointe vers la nouvelle version de la clé après la rotation. L'activation de la rotation automatique sur la clé existante est impossible car elle utilise un matériau de clé importé. La configuration d'un calendrier pour réimporter du matériau de clé n'est pas une rotation automatique gérée par AWS et augmente la charge opérationnelle. La conversion de la clé existante en une clé gérée par AWS n'est pas possible ; une clé KMS est créée avec une origine spécifique qui ne peut pas être modifiée.