U beheert encryptiesleutels in AWS KMS en moet ervoor zorgen dat sleutels onmiddellijk onbruikbaar kunnen worden gemaakt wanneer ze niet langer nodig zijn. De oplossing moet zeer beschikbaar zijn en geen beheer van compute-infrastructuur vereisen. Welke optie voldoet aan deze vereisten?

De correcte optie is om door de klant beheerde sleutels (CMK's) met geïmporteerd sleutelmateriaal te gebruiken. Wanneer het sleutelmateriaal wordt verwijderd, wordt de KMS-sleutel onmiddellijk onbruikbaar, wat voldoet aan de vereiste voor onmiddellijke deactivering. Deze aanpak is zeer beschikbaar en vereist geen beheer van compute-infrastructuur, aangezien AWS KMS een beheerde service is. AWS-beheerde KMS-sleutels kunnen niet onmiddellijk worden verwijderd; er is altijd een verplichte wachttijd van minimaal 7 dagen. Door de klant beheerde sleutels (zonder geïmporteerd sleutelmateriaal) hebben ook een wachttijd voor verwijdering. Een AWS CloudHSM-sleutelarchief vereist het beheer van een CloudHSM-cluster, wat in strijd is met de vereiste om geen compute-infrastructuur te beheren.