Une entreprise exécute des charges de travail uniquement dans la région us-east-1 et doit maintenant répliquer ses charges de travail et son infrastructure dans la région us-west-1. Un ingénieur en sécurité doit implémenter AWS Secrets Manager pour stocker les secrets dans les deux régions, chiffrés avec AWS Key Management Service (AWS KMS). La solution doit minimiser la latence et continuer à fonctionner si une seule région est disponible. Les secrets ont été créés dans us-east-1. Que doit faire l'ingénieur en sécurité ensuite ?

Pour minimiser la latence et assurer la résilience inter-régions, les secrets doivent être stockés et accessibles localement dans chaque région. AWS Secrets Manager prend en charge la réplication de secrets entre régions. Lors de la réplication, chaque réplique de secret est chiffrée avec une clé KMS de la région cible. L'utilisation de clés KMS gérées par le client (CMK) multi-régions permet de créer des répliques de clés dans d'autres régions, ce qui est essentiel pour chiffrer les secrets répliqués et maintenir la disponibilité si une région devient indisponible. Les CMK multi-régions garantissent que la même clé logique peut être utilisée pour déchiffrer les secrets dans les deux régions, simplifiant ainsi la gestion. Les options utilisant des clés gérées par AWS ne permettent pas de répliquer les clés, ce qui compliquerait la gestion et la cohérence. Appeler le point de terminaison Secrets Manager d'une autre région augmenterait la latence et créerait un point de défaillance unique, allant à l'encontre des exigences de résilience.