Un'azienda gestisce tutti i carichi di lavoro nella regione us-east-1 e non dispone di risorse multi-regione. L'azienda deve replicare i propri carichi di lavoro e l'infrastruttura in us-west-1. Un ingegnere della sicurezza deve archiviare i segreti in entrambe le regioni con AWS Secrets Manager, crittografati da AWS Key Management Service (AWS KMS), con latenza minima e la capacità di operare se è disponibile una sola regione. L'ingegnere ha creato i segreti in us-east-1. Cosa dovrebbe fare l'ingegnere successivamente?

L'opzione corretta è crittografare i segreti in us-east-1 con una chiave KMS multi-regione gestita dal cliente, quindi replicare i segreti in us-west-1 e crittografare le repliche utilizzando la stessa chiave KMS multi-regione. Questo approccio garantisce che i segreti siano accessibili e decifrabili in entrambe le regioni utilizzando la stessa chiave, soddisfacendo il requisito di operare anche se è disponibile una sola regione e fornendo bassa latenza. Le chiavi KMS multi-regione sono progettate per questo scenario. Le altre opzioni sono meno efficaci: L'uso di chiavi KMS gestite da AWS separate per ogni regione non consente la decrittografia tra regioni, violando il requisito di operatività con una sola regione. La configurazione delle risorse in us-west-1 per chiamare l'endpoint di Secrets Manager in us-east-1 introduce latenza e fallisce in caso di interruzione di us-east-1. L'uso di una chiave KMS gestita dal cliente non multi-regione con chiamate cross-region presenta gli stessi problemi di latenza e disponibilità.