Команда разработчиков создает приложение для цепочки поставок, которое хранит конфиденциальные данные инвентаризации в бакете Amazon S3. Данные будут зашифрованы с помощью управляемого клиентом ключа AWS Key Management Service (AWS KMS). Данные должны быть доступны сотням поставщиков, каждый из которых использует субъекты из своих собственных учетных записей AWS. Список поставщиков будет меняться еженедельно. Решение должно поддерживать кросс-аккаунтный доступ с минимальными операционными издержками. Какой наиболее эффективный способ управления контролем доступа к ключам?

Использование грантов KMS является наиболее эффективным способом управления доступом к ключам в данном сценарии. Гранты позволяют предоставлять детализированные разрешения на использование ключа KMS для конкретных субъектов (поставщиков) и могут быть легко созданы и отозваны программно. Это обеспечивает гибкость, необходимую для еженедельного изменения списка поставщиков, с минимальными операционными издержками. Обновление политик IAM ролей или политик ключей KMS для сотен поставщиков еженедельно будет значительно более сложным и подверженным ошибкам. Делегированный кросс-аккаунтный доступ с ролями IAM также потребует более сложного управления политиками доверия для каждого поставщика.