Een applicatie gebruikt AWS KMS om gegevens te versleutelen voordat deze in een Amazon S3-bucket in één AWS-regio worden geplaatst. Het bedrijfsbeleid vereist dat gegevens vóór het uploaden worden versleuteld en door de applicatie worden ontsleuteld bij het lezen. De S3-bucket wordt gerepliceerd naar andere regio's. De applicatie moet de gegevens in verschillende regio's kunnen versleutelen en ontsleutelen en dezelfde sleutel gebruiken voor ontsleuteling in elke regio. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het aanmaken van een KMS multi-Region primaire sleutel en replica sleutels. KMS multi-Region sleutels zijn ontworpen voor dit specifieke scenario, waarbij dezelfde logische sleutel in meerdere AWS-regio's kan worden gebruikt voor encryptie en decryptie, wat voldoet aan de eis om dezelfde sleutel te gebruiken voor decryptie in elke regio. Het aanmaken van afzonderlijke door de klant beheerde KMS-sleutels in elke regio zou betekenen dat elke regio een unieke sleutel heeft, wat in strijd is met de vereiste om dezelfde sleutel te gebruiken voor decryptie in elke regio. AWS Private Certificate Authority is bedoeld voor het beheren van certificaten, niet voor het versleutelen van gegevens in S3 met KMS. Het exporteren van sleutelmateriaal uit KMS en opslaan in Parameter Store is een onveilige praktijk en in strijd met de best practices van KMS, dat is ontworpen om sleutels veilig te beheren en te voorkomen dat ze worden geëxporteerd.