Votre entreprise possède deux comptes AWS : production (héberge le compartiment S3 source) et développement (compartiment S3 de destination). Les données du compartiment de production sont chiffrées avec une clé AWS KMS gérée par le client. Vous allez copier les données dans le compartiment S3 du compte de développement et devez utiliser une clé KMS du compte de développement pour chiffrer les données copiées. Cette clé KMS du compte de développement doit autoriser l'accès depuis le compte de production. Quelle approche répond à ces exigences ?

La bonne approche est de créer une nouvelle clé KMS gérée par le client dans le compte de développement et d'ajouter une instruction à la politique de cette clé pour autoriser le compte de production à l'utiliser. Cela permet au compte de production de chiffrer les objets copiés avec la clé KMS du compte de développement, satisfaisant ainsi l'exigence de chiffrement croisé de compte. Les clés KMS ne peuvent pas être répliquées entre comptes. Les clés gérées par AWS ne permettent pas de modifier leur politique de clé pour accorder des autorisations à d'autres comptes, ce qui les rend inadaptées pour ce scénario de chiffrement inter-comptes.