HealthSync использует симметричный управляемый клиентом ключ KMS с импортированным материалом ключа (origin EXTERNAL) для шифрования данных приложения. Новое требование соответствия предписывает автоматическую ежегодную ротацию, управляемую AWS, с минимальными операционными издержками. Какой подход лучше всего соответствует этому требованию?

Правильный ответ — создание нового ключа KMS с материалом ключа, сгенерированным AWS, и использованием псевдонима. Ключи KMS с импортированным материалом ключа (origin EXTERNAL) не поддерживают автоматическую ротацию, управляемую AWS. Создание нового ключа с материалом, сгенерированным AWS, позволяет включить автоматическую ежегодную ротацию. Использование псевдонима обеспечивает минимальные операционные издержки, так как приложениям нужно будет обновиться только один раз, чтобы использовать псевдоним, который затем можно перенаправить на новый ключ без изменения кода приложения при каждой ротации. Неправильные варианты: Включение автоматической ротации на существующем ключе KMS с импортированным материалом ключа невозможно, так как AWS KMS не поддерживает эту функцию для ключей с origin EXTERNAL. Ежегодный повторный импорт нового материала ключа требует ручного управления и не является автоматической ротацией, управляемой AWS. Это увеличивает операционные издержки. Преобразование существующего ключа в ключ, управляемый AWS, невозможно. Тип происхождения материала ключа (origin) нельзя изменить после создания ключа.