Bir şirketin uygulaması, dosyaları şu anda bir AWS Key Management Service (AWS KMS) AWS tarafından sahip olunan anahtar kullanarak şifrelemektedir. Güvenlik ekibi, olası bir anahtar güvenliğinin ihlal edildiğinden şüphelenildiğinde, gelecekteki tüm dosyalar için yeni anahtar materyaline geçme esnekliğine sahip olmak istiyor. Bir güvenlik mühendisi, isteğe bağlı anahtar değişikliklerine izin veren bir çözüm uygulamalıdır. Bu gereksinimleri hangi çözüm karşılar?

Doğru cevap, bir KMS anahtar takma adı (alias) oluşturmayı, güvenlik ekibi bir anahtar değişikliği talep ettiğinde yeni bir müşteri tarafından yönetilen KMS anahtarı oluşturmayı ve takma adı yeni anahtarı işaret edecek şekilde güncellemeyi içerir. Bu yaklaşım, uygulamanın şifreleme ve şifre çözme işlemleri için her zaman takma adı kullanmaya devam etmesini sağlar. Takma adın işaret ettiği temel KMS anahtarını değiştirerek, uygulamada herhangi bir kod değişikliği yapmadan anahtar materyalini sorunsuz bir şekilde değiştirebilirsiniz. Bu, esnek anahtar değişiklikleri için en etkili yöntemdir. Diğer seçenekler yanlıştır çünkü: AWS tarafından sahip olunan anahtarların anahtar rotasyonu yapılandırılamaz veya manuel olarak tetiklenemez. Müşteri tarafından yönetilen anahtarlarda anahtar rotasyonu otomatik olarak yılda bir kez gerçekleşir ve manuel olarak tetiklenemez, bu da isteğe bağlı anahtar değişikliği gereksinimini karşılamaz. AWS tarafından yönetilen anahtarların takma adlarla kullanılması, anahtar materyali üzerinde kontrol sağlamaz.