Bir uygulama, verileri bir Amazon S3 bucket'ına yerleştirmeden önce şifrelemek için AWS KMS kullanır. Şirket politikası, verilerin yüklemeden önce şifrelenmesini ve okuma sırasında uygulama tarafından şifresinin çözülmesini gerektirir. S3 bucket'ı diğer Region'lara replike edilir. Uygulamanın, verileri Region'lar arası şifreleyip şifresini çözebilmesi ve her Region'da şifre çözme için aynı anahtarı kullanması gerekir. Bu gereksinimleri hangi çözüm karşılar?

Doğru çözüm, birincil bir KMS çok bölgeli anahtar oluşturmak ve uygulamanın çalıştığı her ek bölgede bu anahtarı kullanarak bir KMS çok bölgeli replika anahtarı oluşturmaktır. Bu yaklaşım, verilerin bölgeler arası şifrelenip şifresinin çözülmesini ve her bölgede şifre çözme için aynı anahtarın kullanılmasını sağlar. Çok bölgeli anahtarlar, aynı anahtar kimliğine sahip olmalarına rağmen her bölgede bağımsız olarak yönetilebilir ve böylece tutarlı şifreleme ve şifre çözme işlemleri mümkün olur. Diğer seçenekler neden uygun değil: Ayrı müşteri tarafından yönetilen KMS anahtarları, her anahtarın farklı bir anahtar kimliğine sahip olmasına neden olur ve bu da bölgeler arası şifreleme/şifre çözme tutarlılığını bozar. AWS Private Certificate Authority (CA) sertifikaları, şifreleme anahtarlarının yönetimi için uygun bir mekanizma değildir; bunlar genellikle kimlik doğrulama ve güvenli iletişim için kullanılır. AWS Systems Manager Parameter Store'da anahtar materyalini depolamak, anahtar materyalini KMS dışında yönetmeyi gerektirir ve bu da güvenlik risklerini artırır ve KMS'in yerleşik güvenlik özelliklerinden yararlanamaz.