Bir iş ortağı satıcısı, şirketin verilerini satıcının AWS hesabındaki bir S3 bucket'ı içinde barındıracaktır. Satıcı, şirketten bu verileri şifrelemek için bir KMS anahtarı sağlamasını istedi ve satıcının üstleneceği bir IAM rolü ARN'sini paylaştı. SysOps yöneticisi bu entegrasyonu güvenli bir şekilde etkinleştirmek için ne yapmalıdır?

Doğru cevap, şirketin kendi AWS hesabında yeni bir KMS anahtarı oluşturmasını, bu anahtarın kaynak tabanlı politikasına (key policy) satıcının IAM rolü ARN'sini ekleyerek satıcının anahtarı kullanmasına izin vermesini ve ardından bu KMS anahtarının ARN'sini satıcıyla paylaşmasını gerektirir. Bu yaklaşım, şirketin verileri üzerinde şifreleme kontrolünü elinde tutmasını ve satıcıya yalnızca belirli bir anahtarı kullanma izni vermesini sağlar. Yanlış seçenekler: Yeni bir IAM kullanıcısı oluşturup satıcının rol ARN'sini içeren bir satır içi politika eklemek, KMS anahtarına erişim sağlamaz ve gereksiz bir IAM kullanıcısı oluşturur. KMS anahtarı erişimi doğrudan anahtar politikası üzerinden yönetilmelidir. AWS tarafından yönetilen S3 KMS anahtarını (aws/s3) kullanmak, anahtar politikası üzerinde tam kontrol sağlamaz. Bu anahtarların politikaları genellikle AWS tarafından yönetilir ve dış hesaplara erişim izni eklemek mümkün değildir. AWS tarafından yönetilen S3 KMS anahtarını kullanıp S3 bucket politikasına satıcının IAM rolü ARN'sini eklemek, şifreleme anahtarının kontrolünü şirketten almaz ve satıcının kendi anahtarını kullanma isteğini karşılamaz. S3 bucket politikası, bucket'a erişimi kontrol eder, KMS anahtarına erişimi değil.