Een ontwikkelaar moet on-premises data migreren naar S3 met behulp van AWS KMS voor encryptie, en de encryptiesleutels moeten automatische jaarlijkse rotatie ondersteunen. Welk type KMS-sleutel moet worden gebruikt om aan deze vereisten te voldoen?

Symmetrische door de klant beheerde CMK's (Customer Master Keys) met sleutelmateriaal gegenereerd door AWS voldoen aan de vereisten. Deze sleutels ondersteunen automatische jaarlijkse rotatie, wat essentieel is voor compliance en beveiliging. Ze zijn ook geschikt voor encryptie van S3-objecten. Amazon S3-beheerde encryptiesleutels (SSE-S3) worden volledig door AWS beheerd, inclusief de sleutelrotatie, maar de ontwikkelaar heeft geen controle over de sleutel zelf, wat niet voldoet aan de eis van door de klant beheerde sleutels. Asymmetrische CMK's zijn primair bedoeld voor encryptie/decryptie of digitale ondertekening/verificatie, waarbij verschillende sleutels worden gebruikt voor deze functies. Voor S3-objectencryptie zijn symmetrische sleutels de standaard en meest efficiënte keuze. Symmetrische door de klant beheerde CMK's met geïmporteerd sleutelmateriaal ondersteunen geen automatische sleutelrotatie door AWS. De klant is zelf verantwoordelijk voor het roteren van het sleutelmateriaal, wat niet voldoet aan de eis van automatische jaarlijkse rotatie.