Компания управляет всеми рабочими нагрузками в регионе us-east-1 и не имеет ресурсов, распределенных по нескольким регионам. Компания должна реплицировать свои рабочие нагрузки и инфраструктуру в us-west-1. Инженеру по безопасности необходимо хранить секреты в обоих регионах с помощью AWS Secrets Manager, зашифрованные AWS Key Management Service (AWS KMS), с минимальной задержкой и возможностью работы, если доступен только один регион. Инженер создал секреты в us-east-1. Что должен сделать инженер дальше?

Правильный ответ — использование управляемого клиентом многорегионального ключа KMS. Это позволяет реплицировать секреты в us-west-1 и шифровать их тем же ключом, что обеспечивает согласованность и минимизирует задержку, так как приложения в us-west-1 будут обращаться к локальной копии секрета, зашифрованной локальным экземпляром многорегионального ключа. При этом сохраняется работоспособность, даже если один регион недоступен. Использование управляемого AWS ключа KMS для каждого региона или вызов конечной точки Secrets Manager из другого региона увеличит задержку и усложнит управление ключами, а также не обеспечит работу при отказе одного региона для доступа к секретам. Многорегиональный ключ KMS специально разработан для таких сценариев.