한 회사의 엔지니어링 팀이 사용자를 위한 AWS Key Management Service(AWS KMS) 고객 관리형 키 부여(grant)를 생성하는 애플리케이션을 개발하고 있습니다. 부여가 생성된 직후, 사용자는 KMS 키를 사용하여 512바이트 페이로드를 암호화할 수 있어야 합니다. 로드 테스트 중에 암호화 첫 시도에서 AccessDeniedException 오류가 간헐적으로 발생합니다. 이러한 오류를 제거하기 위해 보안 전문가는 무엇을 권장해야 할까요?

AWS KMS 부여는 최종 일관성(eventual consistency) 모델을 따르므로, CreateGrant 호출 직후에는 부여가 모든 KMS 서버에 전파되지 않아 AccessDeniedException이 발생할 수 있습니다. CreateGrant는 부여가 생성될 때 GrantToken을 반환합니다. 이 GrantToken은 부여가 완전히 전파되기 전에도 해당 부여를 즉시 사용할 수 있도록 보장하는 데 사용될 수 있습니다. 따라서 엔지니어링 팀은 CreateGrant에서 반환된 GrantToken을 사용자에게 전달하고, 사용자는 Encrypt 호출 시 이 토큰을 포함해야 합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 2분마다 재시도하는 것은 문제의 근본 원인을 해결하지 못하며, 지연을 유발합니다. 임의의 grant token을 얻거나 임의의 이름을 사용하는 것은 KMS 부여 시스템의 작동 방식과 일치하지 않습니다. GrantToken은 CreateGrant 호출 시 KMS에 의해 생성되고 반환됩니다.