Un'applicazione utilizza AWS KMS per crittografare i dati prima di inserirli in un bucket Amazon S3 in una Regione AWS. La policy aziendale richiede che i dati siano crittografati prima del caricamento e decrittografati dall'applicazione in fase di lettura. Il bucket S3 viene replicato in altre Regioni. L'applicazione deve essere in grado di crittografare e decrittografare i dati tra le Regioni e utilizzare la stessa chiave per la decrittografia in ogni Regione. Quale soluzione soddisfa questi requisiti?

La creazione di una chiave KMS multi-Regione (multi-Region KMS key) è la soluzione più appropriata perché consente di generare una chiave primaria in una Regione e replicarla in altre Regioni. Questo garantisce che la stessa chiave logica sia disponibile e utilizzabile per crittografare e decrittografare i dati in tutte le Regioni, soddisfacendo il requisito di utilizzare la stessa chiave per la decrittografia ovunque. Le chiavi gestite dal cliente separate in ogni Regione non consentirebbero l'uso della stessa chiave logica per la decrittografia inter-Regione. AWS Private Certificate Authority non è pertinente per la crittografia dei dati S3. Esportare il materiale della chiave e archiviarlo in Parameter Store è una pratica sconsigliata per la gestione delle chiavi di crittografia a causa di rischi di sicurezza e complessità di gestione.