Een bedrijf opereert alle workloads in de us-east-1 Region en heeft geen multi-Region resources. Het bedrijf moet zijn workloads en infrastructuur repliceren naar us-west-1. Een security engineer moet secrets in beide Regions opslaan met AWS Secrets Manager, versleuteld door AWS Key Management Service (AWS KMS), met minimale latency en de mogelijkheid om te opereren als slechts één Region beschikbaar is. De engineer heeft de secrets in us-east-1 aangemaakt. Wat moet de engineer hierna doen?

De juiste optie is om een door de klant beheerde multi-Region KMS-sleutel (CMK) te gebruiken. Deze sleutel kan in meerdere AWS-regio's worden gebruikt, waardoor secrets in zowel us-east-1 als us-west-1 met dezelfde sleutel kunnen worden versleuteld en ontsleuteld. Dit voldoet aan de eis van minimale latency en de mogelijkheid om te opereren als slechts één regio beschikbaar is, omdat de secrets in elke regio lokaal kunnen worden ontsleuteld. Het repliceren van de secrets naar us-west-1 zorgt voor redundantie. De andere opties zijn minder geschikt: Het gebruik van door AWS beheerde KMS-sleutels per regio zou betekenen dat de secrets in elke regio met een andere sleutel worden versleuteld, wat het beheer complexer maakt en niet voldoet aan de eis van een uniforme sleutel voor ontsleuteling bij een regionale storing. Het configureren van resources in us-west-1 om het Secrets Manager-eindpunt in us-east-1 aan te roepen, introduceert latency en een single point of failure, wat indruist tegen de vereiste voor hoge beschikbaarheid en minimale latency.