Een bedrijf gaat gegevens opslaan in Amazon S3-buckets in twee AWS-regio's en moet een AWS KMS customer managed key gebruiken om alle gegevens in die S3-buckets te versleutelen. De gegevens in beide S3-buckets moeten worden versleuteld en ontsleuteld met dezelfde KMS-sleutel, en zowel de gegevens als de sleutel moeten in elk van de twee regio's worden opgeslagen. Welke oplossing voldoet aan deze vereisten met de MINSTE operationele overhead?

De correcte optie is het maken van een customer managed multi-Region KMS key en deze te gebruiken voor client-side encryptie. Een multi-Region KMS-sleutel is ontworpen om identiek te zijn in meerdere regio's, waardoor dezelfde sleutel kan worden gebruikt voor encryptie en decryptie in beide regio's, wat voldoet aan de vereiste dat de gegevens en de sleutel in elke regio moeten worden opgeslagen. Client-side encryptie met deze sleutel zorgt ervoor dat de gegevens al versleuteld zijn voordat ze S3 bereiken, en de applicatie beheert de encryptie/decryptie. Dit vermindert de operationele overhead omdat er geen complexe configuratie van S3-encryptie of replicatie van sleutels nodig is. De andere opties zijn minder optimaal: Het gebruik van SSE-S3 of SSE-KMS met afzonderlijke sleutels zou de vereiste schenden dat dezelfde sleutel in beide regio's moet worden gebruikt voor encryptie en decryptie. Het repliceren van S3-buckets met SSE-S3 of SSE-KMS vereist dat de sleutels ook beschikbaar zijn in de replicatieregio, wat met afzonderlijke sleutels complexer is dan een multi-Region sleutel.