개발팀은 민감한 재고 데이터를 Amazon S3 버킷에 저장하는 공급망 애플리케이션을 구축하고 있습니다. 데이터는 AWS Key Management Service(AWS KMS) 고객 관리형 키로 암호화됩니다. 이 데이터는 수백 개의 공급업체와 공유되어야 하며, 각 공급업체는 자체 AWS 계정의 보안 주체를 사용합니다. 공급업체 목록은 매주 변경됩니다. 이 솔루션은 최소한의 운영 오버헤드로 교차 계정 액세스를 지원해야 합니다. 키 액세스 제어를 관리하는 가장 효율적인 방법은 무엇입니까?

KMS grants는 특정 AWS 계정 또는 IAM 보안 주체에 KMS 키에 대한 권한을 부여하는 세분화된 방법을 제공합니다. 공급업체 목록이 자주 변경될 때 프로그래밍 방식으로 grants를 생성하고 취소하는 것은 운영 오버헤드를 최소화하면서 교차 계정 액세스를 효율적으로 관리하는 가장 좋은 방법입니다. IAM role을 사용하여 키 액세스를 제어하고 정책을 업데이트하는 것은 가능하지만, 매주 수백 개의 공급업체에 대한 정책을 업데이트하는 것은 복잡하고 오류가 발생하기 쉽습니다. KMS 키 정책을 업데이트하는 것도 유사하게 복잡하며, 키 정책은 일반적으로 더 넓은 범위의 권한을 정의하는 데 사용됩니다. 위임된 교차 계정 액세스를 위해 IAM trust policy를 업데이트하는 것은 공급업체 계정 자체에 대한 액세스를 관리하는 것이지, KMS 키에 대한 직접적인 권한을 관리하는 것이 아닙니다.