Een KMS customer master key (CMK) is gemaakt met geïmporteerd sleutelmateriaal en wordt via een alias in een Java-applicatie gebruikt voor encryptie. De organisatie moet het sleutelmateriaal elke zes maanden roteren. Wat is de juiste procedure om deze CMK met geïmporteerd materiaal te roteren?

De juiste procedure is het aanmaken van een nieuwe CMK met nieuw geïmporteerd sleutelmateriaal en vervolgens de alias naar deze nieuwe CMK te laten verwijzen. Dit komt omdat AWS KMS automatische sleutelrotatie niet ondersteunt voor CMK's met geïmporteerd sleutelmateriaal; dit moet handmatig gebeuren. Door de alias te verplaatsen, hoeft de applicatiecode niet te worden gewijzigd, aangezien de alias consistent blijft verwijzen naar de actieve sleutel. Het inschakelen van automatische rotatie is niet mogelijk voor geïmporteerd sleutelmateriaal. Het verwijderen en opnieuw importeren van sleutelmateriaal in dezelfde CMK is geen rotatie, maar een vervanging, en kan leiden tot downtime of inconsistenties. Het importeren van een kopie als back-up en het configureren van een rotatieschema op de nieuwe CMK lost het probleem van de rotatie van de oorspronkelijke sleutel niet op en vereist nog steeds handmatige actie voor de applicatie.