Un'azienda utilizza una chiave gestita dal cliente (customer managed key) di AWS Key Management Service (AWS KMS) con materiale della chiave importato. La policy aziendale richiede la rotazione annuale della chiave. In che modo un ingegnere della sicurezza dovrebbe soddisfare questo requisito per questa chiave gestita dal cliente?

La risposta corretta è creare una nuova chiave gestita dal cliente, importare nuovo materiale della chiave e reindirizzare l'alias della chiave. Per le chiavi KMS con materiale della chiave importato, AWS non gestisce la rotazione automatica. La rotazione deve essere gestita manualmente. Il metodo più efficace per una rotazione annuale è creare una nuova CMK con il nuovo materiale della chiave, quindi aggiornare gli alias o le applicazioni per puntare alla nuova CMK. La vecchia CMK può essere disabilitata o pianificata per l'eliminazione dopo un periodo di transizione. Abilitare la rotazione automatica non è possibile per le chiavi con materiale importato. Utilizzare una funzione Lambda per richiamare la rotazione non è un'opzione diretta, poiché non esiste un'API di rotazione per il materiale importato. Importare nuovo materiale nella stessa chiave non è una "rotazione" nel senso di creare una nuova chiave crittografica, ma piuttosto un aggiornamento del materiale della chiave esistente, che non soddisfa il requisito di rotazione annuale di una nuova chiave.