Une entreprise exploite toutes ses charges de travail dans la région us-east-1 et ne possède aucune ressource multirégionale. L'entreprise doit répliquer ses charges de travail et son infrastructure vers us-west-1. Un ingénieur en sécurité doit stocker des secrets dans les deux régions avec AWS Secrets Manager, chiffrés par AWS Key Management Service (AWS KMS), avec une latence minimale et la capacité de fonctionner si une seule région est disponible. L'ingénieur a créé les secrets dans us-east-1. Que doit faire l'ingénieur ensuite ?

L'option correcte est de chiffrer les secrets dans us-east-1 avec une clé KMS multirégionale gérée par le client, puis de répliquer les secrets vers us-west-1 en utilisant la même clé KMS multirégionale. Les clés KMS multirégionales sont conçues pour chiffrer des données dans plusieurs régions, permettant ainsi aux secrets répliqués d'être déchiffrés dans la région de destination avec la même clé, ce qui réduit la latence et assure la disponibilité. L'option de chiffrer avec une clé KMS gérée par AWS et de répliquer avec une nouvelle clé gérée par AWS est incorrecte car les clés gérées par AWS ne sont pas multirégionales et ne permettent pas la réplication des secrets chiffrés avec la même clé. Les options qui consistent à appeler le point de terminaison Secrets Manager dans us-east-1 depuis us-west-1 sont incorrectes car cela introduirait une latence élevée et ne garantirait pas la disponibilité en cas de défaillance de la région us-east-1.