Een bedrijf is van plan AWS Key Management Service (AWS KMS) te gebruiken om data-at-rest te beschermen en vereist client-side encryptie. Meerdere testprojecten veroorzaken een sterke stijging in het AWS-gebruik, waarbij applicaties veel KMS-verzoeken per seconde indienen voor encryptie. Het bedrijf heeft een oplossing nodig die throttling voorkomt, het sleutelgebruik voor client-side encryptie verbetert en kostengeoptimaliseerd is. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het implementeren van data key caching met de AWS Encryption SDK en een caching cryptographic materials manager. Dit vermindert het aantal KMS-aanroepen aanzienlijk, omdat de SDK data keys lokaal kan cachen en hergebruiken voor meerdere encryptie-operaties, wat throttling voorkomt en kosten optimaliseert. De andere opties zijn minder effectief of onjuist: Het gebruik van keyrings met de AWS Encryption SDK op zichzelf lost het probleem van hoge KMS-aanroepen niet op, tenzij caching wordt toegepast. Decryptie met alleen de primaire sleutel of een willekeurige wrapping key is geen efficiënte oplossing voor het verminderen van KMS-verzoeken. Het inschakelen van KMS key rotation is een best practice voor beveiliging, maar heeft geen directe invloed op het verminderen van het aantal KMS-aanroepen voor encryptie in een scenario met hoge doorvoer, tenzij het gecombineerd wordt met caching.