Voxel Media ospita un data lake con miliardi di piccoli oggetti in Amazon S3 utilizzando SSE-KMS con una CMK gestita dal cliente. Recentemente, i costi delle richieste KMS sono aumentati e si sono verificati occasionali throttling durante picchi intensi di PUT/GET. Devono mantenere SSE-KMS. Qual è la modifica più efficace per ridurre le richieste e i costi di KMS senza alterare la postura di conformità?

Abilitare le S3 Bucket Keys è la soluzione più efficace perché riduce il numero di richieste dirette a KMS. Invece di una richiesta KMS per ogni operazione su oggetto, S3 genera una chiave di data encryption temporanea da KMS e la utilizza per crittografare più oggetti all'interno del bucket, riducendo significativamente il traffico verso KMS e i costi associati, mantenendo SSE-KMS. Passare a SSE-S3 non è un'opzione valida perché l'azienda deve mantenere SSE-KMS per requisiti di conformità. Richiedere una quota più elevata può alleviare il throttling ma non riduce il numero di richieste KMS o i costi. La crittografia lato client con chiavi gestite da KMS non ridurrebbe le richieste KMS per oggetto in modo più efficiente delle S3 Bucket Keys e complicherebbe la gestione.