Il team di ingegneri di un'azienda sta sviluppando un'applicazione che crea grant di chiavi gestite dal cliente (customer managed key) di AWS Key Management Service (AWS KMS) per gli utenti. Immediatamente dopo la creazione di un grant, gli utenti devono essere in grado di utilizzare la chiave KMS per crittografare un payload di 512 byte. Durante i test di carico, si verificano occasionalmente errori AccessDeniedException al primo tentativo di crittografia. Cosa dovrebbe raccomandare lo specialista della sicurezza per eliminare questi errori?

Il problema descritto è un classico esempio di eventuale coerenza (eventual consistency) in AWS KMS. Quando un grant viene creato, la sua propagazione attraverso il sistema distribuito di KMS potrebbe richiedere un breve periodo di tempo. Se un'operazione di crittografia viene tentata immediatamente dopo la creazione del grant, prima che la propagazione sia completa, può verificarsi un errore AccessDeniedException. La soluzione più efficace e raccomandata è utilizzare il GrantToken restituito dall'operazione CreateGrant. Passando questo GrantToken all'operazione Encrypt, si forza KMS a riconoscere immediatamente il grant appena creato, bypassando i ritardi dovuti all'eventuale coerenza. Le altre opzioni sono meno efficaci o errate: Un meccanismo di retry con un ritardo fisso (2 minuti) è una soluzione debole e inefficiente, che non garantisce la risoluzione immediata del problema e introduce latenza. Ottenere un token di grant casuale dagli utenti o specificare un nome casuale per il grant non ha alcun impatto sulla coerenza eventuale di KMS e non risolve il problema. Il GrantToken è un valore specifico generato da KMS per garantire la coerenza immediata.