Firma przechowuje poufne dane w bazie danych Amazon Aurora PostgreSQL w regionie ap-southeast-3, zaszyfrowane za pomocą klucza zarządzanego przez klienta AWS KMS. Firma została przejęta i musi bezpiecznie udostępnić kopię zapasową bazy danych kontu AWS firmy przejmującej w regionie ap-southeast-3. Co powinien zrobić architekt rozwiązań, aby spełnić te wymagania?

Aby bezpiecznie udostępnić zaszyfrowaną migawkę bazy danych Aurora PostgreSQL innemu kontu AWS, należy najpierw utworzyć migawkę bazy danych. Następnie, klucz zarządzany przez klienta AWS KMS użyty do szyfrowania tej migawki musi zostać udostępniony kontu docelowemu. Odbywa się to poprzez dodanie identyfikatora konta AWS firmy przejmującej do polityki klucza KMS. Po zaktualizowaniu polityki klucza KMS, migawka może zostać udostępniona kontu docelowemu. Firma przejmująca będzie mogła następnie odtworzyć bazę danych z tej migawki, ponieważ będzie miała uprawnienia do użycia klucza KMS. Pozostałe opcje są nieprawidłowe: Kopiowanie migawki do niezaszyfrowanej migawki jest niezgodne z wymogami bezpieczeństwa poufnych danych. Tworzenie migawki z innym kluczem zarządzanym przez AWS KMS i dodawanie konta do aliasu klucza KMS nie jest konieczne ani wystarczające. Aliasy nie kontrolują uprawnień dostępu do klucza. Pobieranie i przesyłanie migawki do zasobnika S3 jest nieefektywne, potencjalnie niezgodne z wymogami bezpieczeństwa (dane przechodzą przez sieć lokalną) i nie jest standardową metodą udostępniania migawek baz danych Aurora między kontami.