Een ontwikkelteam bouwt een supply chain-applicatie die gevoelige inventarisgegevens opslaat in een Amazon S3-bucket. De gegevens worden versleuteld met een AWS Key Management Service (AWS KMS) customer managed key. De gegevens moeten worden gedeeld met honderden leveranciers, die elk principals van hun eigen AWS-accounts gebruiken. De leverancierslijst zal wekelijks veranderen. De oplossing moet cross-account toegang ondersteunen met minimale operationele overhead. Wat is de meest efficiënte manier om de toegangscontrole van de sleutel te beheren?

KMS grants zijn de meest efficiënte manier om dynamische, fijnmazige toegang tot een KMS-sleutel te beheren voor honderden externe accounts, vooral wanneer de lijst met ontvangers wekelijks verandert. Grants kunnen programmatisch worden gemaakt en ingetrokken, wat minimale operationele overhead oplevert. Het programmatisch bijwerken van IAM role policies of KMS key policies is minder efficiënt en kan leiden tot complexiteit en potentiële fouten, aangezien deze beleidsdocumenten groter en moeilijker te beheren worden met honderden vermeldingen. Gedelegeerde cross-account toegang met IAM roles is een geldige methode voor cross-account toegang, maar het bijwerken van de trust policy van de rol voor elke leverancier is minder schaalbaar en flexibel dan het gebruik van KMS grants voor directe sleuteltoegang.