Приложение использует AWS KMS для шифрования данных перед их размещением в бакете Amazon S3 в одном регионе AWS. Политика компании требует, чтобы данные были зашифрованы до загрузки и расшифрованы приложением при чтении. Бакет S3 реплицируется в другие регионы. Приложение должно иметь возможность шифровать и расшифровывать данные между регионами и использовать один и тот же ключ для расшифровки в каждом регионе. Какое решение соответствует этим требованиям?

Правильный ответ — создание первичного многорегионального ключа KMS и его реплик. Многорегиональные ключи KMS позволяют использовать один и тот же ключ для шифрования и расшифровки данных в разных регионах AWS, что соответствует требованию использования одного и того же ключа для расшифровки. Приложение может использовать реплику ключа в своем регионе, обеспечивая локальную доступность и снижая задержки. Создание отдельных ключей KMS в каждом регионе не соответствует требованию использования одного и того же ключа для расшифровки. Использование AWS Private Certificate Authority не имеет отношения к шифрованию данных с помощью KMS. Экспорт материала ключа и его хранение в Parameter Store не является безопасным или рекомендуемым способом управления ключами KMS и может нарушить требования безопасности и аудита.