Het engineeringteam van een bedrijf ontwikkelt een applicatie die AWS Key Management Service (AWS KMS) customer managed key grants aanmaakt voor gebruikers. Onmiddellijk nadat een grant is aangemaakt, moeten gebruikers de KMS-sleutel kunnen gebruiken om een payload van 512 bytes te versleutelen. Tijdens belastingstests treden af en toe AccessDeniedException-fouten op bij de eerste poging tot versleuteling. Wat moet de security specialist aanbevelen om deze fouten te elimineren?

De correcte optie is om de grant token die door CreateGrant wordt geretourneerd, door te geven aan gebruikers en hen te instrueren deze token op te nemen in hun Encrypt-aanroep. Dit lost het consistentieprobleem van AWS KMS op. Grants zijn uiteindelijk consistent, wat betekent dat het enige tijd kan duren voordat een nieuwe grant volledig is gepropageerd en bruikbaar is. Door de grant token te gebruiken, kunnen gebruikers onmiddellijk de KMS-sleutel gebruiken, zelfs voordat de grant volledig is gepropageerd, omdat de token een directe verwijzing naar de grant bevat. De andere opties zijn incorrect: Een retry-mechanisme elke 2 minuten is een workaround en lost de onderliggende oorzaak niet op, bovendien is 2 minuten een lange wachttijd. Het verkrijgen van een willekeurige grant token van gebruikers of het opgeven van een willekeurige naam voor de grant en deze als token gebruiken, is niet de juiste manier om met grant tokens om te gaan; de token moet specifiek de door CreateGrant geretourneerde token zijn.