Aplikacja używa AWS KMS do szyfrowania danych przed umieszczeniem ich w zasobniku Amazon S3 w jednym regionie AWS. Zasady firmy wymagają, aby dane były szyfrowane przed przesłaniem i deszyfrowane przez aplikację podczas odczytu. Zasobnik S3 jest replikowany do innych regionów. Aplikacja musi być w stanie szyfrować i deszyfrować dane między regionami oraz używać tego samego klucza do deszyfrowania w każdym regionie. Które rozwiązanie spełnia te wymagania?

Rozwiązanie z kluczem podstawowym KMS multi-Region i kluczami replik spełnia wymagania, ponieważ umożliwia szyfrowanie i deszyfrowanie danych za pomocą tego samego klucza w wielu regionach. Klucz podstawowy jest tworzony w jednym regionie, a jego repliki są tworzone w innych regionach, zapewniając spójność i dostępność klucza. Aplikacja może używać odpowiedniego klucza repliki w swoim regionie, co upraszcza zarządzanie kluczami i zapewnia zgodność z zasadami firmy. Tworzenie oddzielnych kluczy KMS w każdym regionie wymagałoby zarządzania wieloma różnymi kluczami i nie spełniałoby wymogu używania tego samego klucza do deszyfrowania. AWS Private Certificate Authority służy do zarządzania certyfikatami, a nie kluczami szyfrującymi dane. Eksportowanie materiału klucza z KMS i przechowywanie go w Parameter Store jest niezgodne z najlepszymi praktykami bezpieczeństwa KMS i zwiększa ryzyko wycieku klucza.