HealthSync używa symetrycznego klucza KMS zarządzanego przez klienta z zaimportowanym materiałem klucza (origin EXTERNAL) do szyfrowania danych aplikacji. Nowa kontrola zgodności nakazuje automatyczną roczną rotację zarządzaną przez AWS z minimalnym obciążeniem operacyjnym. Jakie jest najlepsze podejście, aby spełnić ten wymóg?

Prawidłową opcją jest utworzenie nowego klucza KMS z materiałem klucza generowanym przez AWS i włączenie automatycznej rotacji, a następnie zaktualizowanie aplikacji, aby używały aliasu wskazującego na ten nowy klucz. Klucze KMS z zaimportowanym materiałem klucza (origin EXTERNAL) nie obsługują automatycznej rotacji zarządzanej przez AWS. AWS może rotować tylko materiał klucza, który sam wygenerował. Użycie aliasu zapewnia stabilny punkt odniesienia dla aplikacji, co minimalizuje zmiany w kodzie po przełączeniu na nowy klucz. Pozostałe opcje są nieprawidłowe: Włączenie automatycznej rotacji na istniejącym kluczu z zaimportowanym materiałem klucza nie zadziała, ponieważ AWS nie rotuje kluczy EXTERNAL. Konfigurowanie rocznego harmonogramu ponownego importowania nowego materiału klucza jest obciążające operacyjnie i nie jest automatyczną rotacją zarządzaną przez AWS. Nie można przekonwertować istniejącego klucza z zaimportowanym materiałem na klucz zarządzany przez AWS; origin klucza jest stały.