Zespół programistów tworzy aplikację do zarządzania łańcuchem dostaw, która przechowuje wrażliwe dane dotyczące zapasów w zasobniku Amazon S3. Dane będą szyfrowane za pomocą klucza zarządzanego przez klienta AWS Key Management Service (AWS KMS). Dane muszą być udostępniane setkom dostawców, z których każdy używa podmiotów zabezpieczeń (principals) z własnych kont AWS. Lista dostawców będzie się zmieniać co tydzień. Rozwiązanie musi obsługiwać dostęp między kontami przy minimalnym nakładzie operacyjnym. Jaki jest najbardziej efektywny sposób zarządzania kontrolą dostępu do klucza?

Granty KMS są najbardziej efektywnym rozwiązaniem, ponieważ pozwalają na precyzyjne zarządzanie dostępem do klucza KMS dla poszczególnych podmiotów zabezpieczeń (principals) z innych kont AWS. Można je łatwo tworzyć i odwoływać programowo, co jest idealne dla często zmieniającej się listy dostawców, minimalizując nakład operacyjny. Aktualizowanie polityk ról IAM lub polityk kluczy KMS programowo jest bardziej złożone i obarczone większym ryzykiem błędów, ponieważ wymaga modyfikacji całych dokumentów polityk. Delegowany dostęp między kontami z rolami IAM jest odpowiedni do stałego dostępu między zaufanymi kontami, ale zarządzanie polityką zaufania dla setek zmieniających się dostawców jest mniej elastyczne niż granty KMS.