Een bedrijf gebruikt een AWS Key Management Service (AWS KMS) customer managed key met geïmporteerd sleutelmateriaal. Het bedrijfsbeleid vereist jaarlijkse sleutelrotatie. Hoe moet een security engineer aan deze vereiste voldoen voor deze customer managed key?

De correcte optie is om een nieuwe customer managed key (CMK) aan te maken, er nieuw sleutelmateriaal in te importeren en de sleutelalias naar de nieuwe sleutel te laten wijzen. Dit komt omdat AWS KMS geen automatische sleutelrotatie ondersteunt voor CMK's met geïmporteerd sleutelmateriaal. Door een alias te gebruiken, kunnen applicaties blijven verwijzen naar dezelfde logische sleutelnaam, terwijl de onderliggende fysieke sleutel wordt gewijzigd. Het inschakelen van automatische rotatie is niet mogelijk voor dit type sleutel. Het gebruik van een Lambda-functie om de bestaande sleutel te roteren is niet de aanbevolen methode, omdat het importeren van nieuw sleutelmateriaal in een bestaande CMK niet direct een rotatie van de sleutel-ID teweegbrengt, wat essentieel is voor een volledige rotatie.