Un'azienda esegue carichi di lavoro solo nella regione us-east-1 e ora deve replicare i propri carichi di lavoro e l'infrastruttura nella regione us-west-1. Un ingegnere della sicurezza deve implementare AWS Secrets Manager per archiviare i segreti in entrambe le regioni, crittografati con AWS Key Management Service (AWS KMS). La soluzione deve ridurre al minimo la latenza e continuare a funzionare se è disponibile una sola regione. I segreti sono stati creati in us-east-1. Cosa dovrebbe fare l'ingegnere della sicurezza in seguito?

L'opzione corretta è crittografare i segreti in us-east-1 con una chiave KMS gestita dal cliente (CMK) e replicarli in us-west-1 crittografandoli con una replica multi-regione della stessa CMK. Questo approccio garantisce che i segreti siano disponibili in entrambe le regioni con bassa latenza e che la decrittografia possa avvenire indipendentemente in ciascuna regione, anche in caso di interruzione di una regione. L'uso di una CMK multi-regione consente la replica dei segreti mantenendo la stessa chiave logica. Le opzioni che suggeriscono l'uso di chiavi KMS gestite da AWS (chiavi predefinite) non sono ideali perché non offrono lo stesso livello di controllo e flessibilità delle CMK, specialmente in scenari di replica multi-regione. Le opzioni che prevedono la chiamata all'endpoint di Secrets Manager in us-east-1 da us-west-1 introdurrebbero latenza e un singolo punto di fallimento, contravvenendo al requisito di disponibilità in caso di interruzione di una regione.