Firma obsługuje wszystkie obciążenia w regionie us-east-1 i nie posiada zasobów obejmujących wiele regionów. Firma musi replikować swoje obciążenia i infrastrukturę do regionu us-west-1. Inżynier bezpieczeństwa musi przechowywać sekrety w obu regionach za pomocą AWS Secrets Manager, zaszyfrowane przez AWS Key Management Service (AWS KMS), z minimalnym opóźnieniem i możliwością działania, jeśli dostępny jest tylko jeden region. Inżynier utworzył sekrety w us-east-1. Co inżynier powinien zrobić dalej?

Prawidłowa odpowiedź zapewnia replikację sekretów i ich szyfrowanie w obu regionach za pomocą tego samego klucza KMS zarządzanego przez klienta (CMK) obejmującego wiele regionów. Klucze KMS obejmujące wiele regionów pozwalają na szyfrowanie i deszyfrowanie danych w różnych regionach za pomocą tego samego klucza, co jest kluczowe dla minimalnego opóźnienia i działania w przypadku awarii jednego regionu. Nieprawidłowe opcje: Użycie kluczy zarządzanych przez AWS (AWS-managed keys) uniemożliwia replikację klucza między regionami, co wymagałoby tworzenia nowych kluczy i komplikowałoby zarządzanie. Wywoływanie punktu końcowego Secrets Manager w us-east-1 z us-west-1 wprowadziłoby nieakceptowalne opóźnienia i uniemożliwiłoby działanie w przypadku awarii regionu us-east-1. Użycie klucza zarządzanego przez klienta, ale bez replikacji sekretów, również nie spełnia wymagań odporności na awarie.