Un team di sviluppo sta creando un'applicazione per la supply chain che memorizza dati sensibili sull'inventario in un bucket Amazon S3. I dati verranno crittografati con una chiave gestita dal cliente (customer managed key) di AWS Key Management Service (AWS KMS). I dati devono essere condivisi con centinaia di fornitori, ognuno dei quali utilizza principal dai propri account AWS. L'elenco dei fornitori cambierà settimanalmente. La soluzione deve supportare l'accesso cross-account con un overhead operativo minimo. Qual è il modo più efficiente per gestire il controllo degli accessi alle chiavi?

L'opzione corretta è usare le concessioni KMS (KMS grants). Le concessioni sono progettate per delegare le autorizzazioni per l'uso di una chiave KMS a un principal AWS, e possono essere create e revocate programmaticamente con un overhead minimo. Questo le rende ideali per scenari in cui l'elenco dei destinatari cambia frequentemente, come nel caso di centinaia di fornitori. Le policy dei ruoli IAM e le policy delle chiavi KMS richiederebbero aggiornamenti diretti e frequenti delle policy stesse, il che può diventare complesso e rischioso con un numero elevato e variabile di fornitori. L'accesso cross-account delegato con i ruoli IAM è un'opzione valida per l'accesso cross-account, ma la gestione delle trust policy IAM per centinaia di fornitori che cambiano settimanalmente sarebbe più complessa rispetto alla gestione delle concessioni KMS, che sono più granulari e specifiche per l'uso delle chiavi.