Voxel Media héberge un lac de données avec des milliards de petits objets dans Amazon S3 en utilisant SSE-KMS avec une CMK gérée par le client. Récemment, les frais de requêtes KMS ont grimpé en flèche et des étranglements occasionnels se sont produits lors de fortes rafales de PUT/GET. Ils doivent conserver SSE-KMS. Quel est le changement le plus efficace pour réduire les requêtes et les coûts KMS sans modifier la posture de conformité ?

L'activation des clés de compartiment S3 réduit considérablement le nombre de requêtes KMS en permettant à S3 de générer une clé de données unique pour le compartiment, qui est ensuite utilisée pour dériver des clés d'objet. Cela signifie qu'une seule requête KMS est nécessaire pour déchiffrer la clé de compartiment, plutôt qu'une requête KMS par objet, ce qui réduit les coûts et les étranglements. La conformité SSE-KMS est maintenue car KMS est toujours utilisé pour protéger la clé de compartiment. Passer à SSE-S3 ne répond pas à l'exigence de conserver SSE-KMS. Demander un quota KMS plus élevé n'est pas une solution efficace pour réduire les coûts et ne résout pas la cause première des requêtes excessives. Le chiffrement côté client avec des clés gérées par KMS peut augmenter la complexité et ne garantit pas une réduction des requêtes KMS par objet sans une implémentation minutieuse.