Firma uruchamia obciążenia wyłącznie w regionie us-east-1 i teraz musi replikować swoje obciążenia i infrastrukturę do regionu us-west-1. Inżynier bezpieczeństwa musi zaimplementować AWS Secrets Manager do przechowywania sekretów w obu regionach, zaszyfrowanych za pomocą AWS Key Management Service (AWS KMS). Rozwiązanie musi minimalizować opóźnienia i nadal działać, jeśli dostępny jest tylko jeden region. Sekrety zostały utworzone w us-east-1. Co powinien zrobić inżynier bezpieczeństwa w następnej kolejności?

Prawidłowa odpowiedź to zaszyfrowanie sekretów w us-east-1 za pomocą klucza KMS zarządzanego przez klienta, a następnie replikacja sekretów do us-west-1 i zaszyfrowanie ich tam za pomocą odpowiadającego wieloregionalnego klucza KMS zarządzanego przez klienta (repliki klucza z us-east-1). To rozwiązanie minimalizuje opóźnienia, ponieważ zasoby w us-west-1 pobierają sekrety z lokalnego regionu, a także zapewnia odporność na awarie, ponieważ każdy region może działać niezależnie. Użycie kluczy zarządzanych przez klienta (CMK) pozwala na większą kontrolę nad szyfrowaniem. Pozostałe opcje są nieprawidłowe: Użycie kluczy KMS zarządzanych przez AWS nie pozwala na replikację kluczy między regionami w sposób, który wspiera replikację sekretów Secrets Manager. Konfigurowanie zasobów w us-west-1 do wywoływania punktu końcowego Secrets Manager w us-east-1 wprowadziłoby wysokie opóźnienia i stworzyłoby pojedynczy punkt awarii, co jest sprzeczne z wymaganiami zadania.