Firma używa instancji Amazon EC2 i przechowuje dane na woluminach Amazon EBS. Firma musi zapewnić, że wszystkie dane są szyfrowane w spoczynku przy użyciu AWS Key Management Service (AWS KMS) i musi mieć możliwość kontrolowania rotacji kluczy szyfrujących. Które rozwiązanie spełnia te wymagania przy NAJMNIEJSZYM nakładzie pracy operacyjnej?

Utworzenie klucza zarządzanego przez klienta (CMK) i użycie go do szyfrowania woluminów EBS spełnia oba wymagania: szyfrowanie danych w spoczynku za pomocą AWS KMS oraz kontrolę nad rotacją kluczy. CMK pozwalają na ręczną rotację lub konfigurację automatycznej rotacji co rok. Klucz zarządzany przez AWS (AWS managed key) szyfruje dane, ale rotacja jest zarządzana przez AWS i nie można jej kontrolować. Zewnętrzny klucz KMS z zaimportowanym materiałem klucza jest bardziej złożony operacyjnie. Klucz należący do AWS (AWS owned key) jest używany do szyfrowania niektórych usług AWS, ale nie zapewnia kontroli nad rotacją ani nie jest dostępny do bezpośredniego użycia przez klienta do szyfrowania woluminów EBS.