Une application utilise AWS KMS pour chiffrer des données avant de les placer dans un compartiment Amazon S3 dans une région AWS. La politique de l'entreprise exige que les données soient chiffrées avant le téléchargement et déchiffrées par l'application lors de la lecture. Le compartiment S3 est répliqué dans d'autres régions. L'application doit pouvoir chiffrer et déchiffrer les données entre les régions et utiliser la même clé pour le déchiffrement dans chaque région. Quelle solution répond à ces exigences ?

La création d'une clé primaire KMS multi-régions et de ses répliques dans d'autres régions est la solution correcte car elle permet d'utiliser la même clé logique pour le chiffrement et le déchiffrement dans plusieurs régions. Les clés multi-régions de KMS sont conçues précisément pour ce scénario, où une clé peut être répliquée et utilisée de manière interchangeable dans différentes régions, garantissant que les données chiffrées dans une région peuvent être déchiffrées dans une autre avec la même clé logique. Les autres options sont incorrectes car : Créer une clé KMS gérée par le client distincte dans chaque région ne permettrait pas le déchiffrement inter-régions avec la même clé logique. Une clé créée dans une région ne peut pas déchiffrer des données chiffrées par une clé différente dans une autre région. L'utilisation d'AWS Private Certificate Authority est destinée à la gestion des certificats et non au chiffrement de données avec KMS. L'exportation du matériel de clé KMS vers Systems Manager Parameter Store est une pratique non sécurisée et non recommandée par AWS pour la gestion des clés de chiffrement. KMS est un service géré et sécurisé pour la gestion du matériel de clé.