Een bedrijf gebruikt AWS Key Management Service (AWS KMS). Bij een poging om een versleuteld Amazon Elastic Block Store (Amazon EBS)-volume te koppelen aan een Amazon EC2-instance, mislukt de koppeling. Het bedrijf ontdekt dat een customer managed key onbruikbaar is geworden omdat het geïmporteerde sleutelmateriaal is verwijderd. De gegevens op het EBS-volume zijn nodig. Een security engineer moet een manier aanbevelen om de versleutelde gegevenssleutel van het volume te ontsleutelen en het volume te koppelen. Welke oplossing voldoet aan deze vereisten?

De correcte optie is om exact hetzelfde sleutelmateriaal opnieuw te importeren. Wanneer geïmporteerd sleutelmateriaal wordt verwijderd, wordt de KMS-sleutel onbruikbaar, maar de metadata van de sleutel en de relatie met versleutelde gegevens blijven bestaan. Door exact hetzelfde sleutelmateriaal opnieuw te importeren, wordt de KMS-sleutel weer bruikbaar en kunnen de gegevens worden ontsleuteld. Het importeren van nieuw sleutelmateriaal in de bestaande KMS-sleutel (optie 1) werkt niet, omdat de versleutelde gegevenssleutel van het EBS-volume specifiek is versleuteld met het oorspronkelijke sleutelmateriaal. Het herstellen vanuit een snapshot (optie 2) is een mogelijke oplossing, maar vereist dat er een snapshot beschikbaar is en is niet de meest directe manier om de bestaande gegevens te ontsleutelen. Het maken van een nieuwe KMS-sleutel (optie 4) werkt niet, omdat de gegevens versleuteld zijn met de oorspronkelijke KMS-sleutel en niet met een nieuwe sleutel kunnen worden ontsleuteld.