Zespół inżynierów firmy opracowuje aplikację, która tworzy uprawnienia (grants) dla kluczy zarządzanych przez klienta (customer managed key) w AWS Key Management Service (AWS KMS). Natychmiast po utworzeniu uprawnienia, użytkownicy muszą mieć możliwość użycia klucza KMS do zaszyfrowania ładunku o rozmiarze 512 bajtów. Podczas testów obciążeniowych, sporadycznie występują błędy AccessDeniedException przy pierwszej próbie szyfrowania. Co specjalista ds. bezpieczeństwa powinien zalecić, aby wyeliminować te błędy?

Poprawna odpowiedź rozwiązuje problem ostatecznej spójności w AWS KMS. Kiedy uprawnienie (grant) jest tworzone za pomocą CreateGrant, jego propagacja przez wszystkie regiony AWS może zająć trochę czasu. Jeśli użytkownik spróbuje użyć klucza KMS natychmiast po utworzeniu uprawnienia, może napotkać błąd AccessDeniedException, ponieważ uprawnienie nie jest jeszcze w pełni spójne. Przekazanie GrantToken zwróconego przez CreateGrant do użytkowników i użycie go w wywołaniu Encrypt gwarantuje, że KMS użyje najnowszej wersji uprawnienia, omijając opóźnienia związane z ostateczną spójnością. Pozostałe opcje są nieprawidłowe: Ponawianie prób co 2 minuty jest obejściem, a nie rozwiązaniem problemu ostatecznej spójności i może prowadzić do niepotrzebnych opóźnień i złożoności. Generowanie losowego tokenu przez użytkowników lub określanie losowej nazwy grantu nie zapewnia spójności uprawnień i nie jest zgodne z mechanizmem GrantToken w AWS KMS. GrantToken jest generowany przez AWS KMS i służy do zapewnienia natychmiastowej spójności.