Un ingénieur réseau utilise AWS Direct Connect avec MACsec pour chiffrer le trafic entre le centre de données et l'emplacement Direct Connect. La clé secrète MACsec peut être compromise et doit être remplacée par une clé sécurisée. Quelle action répond à cette exigence ?

Pour remplacer une clé MACsec compromise, il est nécessaire de générer une nouvelle clé et de l'associer à la connexion Direct Connect. AWS Direct Connect prend en charge l'utilisation de clés gérées par le client (Customer Managed Keys - CMK) dans AWS Key Management Service (KMS) pour la génération et la gestion des clés MACsec, offrant ainsi un contrôle accru sur le cycle de vie des clés. Les clés gérées par AWS (AWS Managed Keys) ne permettent pas le même niveau de contrôle pour la rotation ou la gestion spécifique. Modifier une clé existante n'est pas une option, car la clé doit être entièrement remplacée pour garantir la sécurité après une compromission. La nouvelle clé pré-partagée, le CKN (Connection Key Name) et le CAK (Connectivity Association Key) doivent être associés à la connexion pour que le chiffrement MACsec fonctionne correctement avec la nouvelle clé.