Een applicatie haalt gevoelige gegevens op uit een extern systeem en formatteert deze naar een PDF groter dan 1 MB. De ontwikkelaar zal het bestand op schijf versleutelen met behulp van een KMS symmetrische, door de klant beheerde sleutel en het later ontsleutelen voor download. Welke benadering maakt, met behulp van de GenerateDataKey API, het versleutelen van de PDF correct mogelijk, zodat deze later kan worden ontsleuteld?

De correcte benadering is om de versleutelde datasleutel (ciphertext) op te slaan voor later gebruik. De plaintext datasleutel, die ook door GenerateDataKey wordt geretourneerd, wordt vervolgens gebruikt om het bestand lokaal te versleutelen met een symmetrisch algoritme (zoals AES). Dit is de standaardmethode voor client-side encryptie met KMS, waarbij de KMS-sleutel (CMK) wordt gebruikt om de datasleutel te versleutelen, en de datasleutel vervolgens de feitelijke data versleutelt. De plaintext sleutel mag nooit op schijf worden opgeslagen. De KMS Encrypt API is bedoeld voor kleinere datablokken (tot 4KB), niet voor grote bestanden zoals een PDF van 1 MB.