Une clé CMK (customer master key) KMS a été créée avec du matériel de clé importé et est référencée par un alias dans une application Java pour le chiffrement. L'organisation doit faire pivoter le matériel de clé tous les six mois. Quelle est la procédure appropriée pour faire pivoter cette CMK avec matériel importé ?

La rotation automatique n'est pas prise en charge pour les CMK avec matériel de clé importé ; elle est uniquement disponible pour les CMK générées par KMS. La meilleure pratique consiste à créer une nouvelle CMK avec le nouveau matériel de clé importé. En redirigeant l'alias vers cette nouvelle CMK, l'application Java n'a pas besoin de modifications de code, car elle référence l'alias et non l'ID de la CMK. Supprimer et réimporter du matériel de clé dans la même CMK n'est pas une option valide pour la rotation, car cela ne crée pas un nouveau matériel de clé cryptographique. Importer une copie du matériel de clé actuel dans une nouvelle CMK ne répond pas à l'exigence de rotation avec du nouveau matériel de clé.