De applicatie van een bedrijf versleutelt momenteel bestanden met behulp van een AWS Key Management Service (AWS KMS) AWS owned key. Het beveiligingsteam wil de flexibiliteit hebben om voor alle toekomstige bestanden over te schakelen naar nieuw sleutelmateriaal wanneer een mogelijke compromittering van de sleutel wordt vermoed. Een beveiligingsengineer moet een oplossing implementeren die on-demand sleutelwijzigingen mogelijk maakt. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het aanmaken van een KMS key alias. Wanneer het beveiligingsteam een sleutelwijziging aanvraagt, maakt u een nieuwe customer managed KMS key (CMK) aan en werkt u de alias bij om naar deze nieuwe sleutel te verwijzen. De applicatie blijft de alias gebruiken, maar versleutelt nieuwe bestanden met de zojuist gekoppelde CMK. Dit biedt on-demand flexibiliteit om snel van sleutelmateriaal te wisselen zonder de applicatiecode aan te passen. Incorrecte opties: Het configureren van key rotation op een nieuwe customer managed KMS key of AWS managed KMS key en het handmatig activeren ervan voldoet niet aan de vereiste. KMS key rotation is een geautomatiseerd proces dat jaarlijks plaatsvindt en niet on-demand kan worden getriggerd voor een directe sleutelwissel bij een vermoeden van compromittering. Het gebruik van een AWS managed KMS key biedt minder controle dan een CMK, wat niet ideaal is voor scenario's waarin het beveiligingsteam flexibiliteit en controle over het sleutelmateriaal wil behouden.