一個 KMS 客戶主金鑰 (CMK) 是使用匯入的金鑰材料建立的，並在 Java 應用程式中透過別名引用以進行加密。該組織需要每六個月輪換一次金鑰材料。輪換此匯入材料 CMK 的正確程序是什麼？

正確答案是建立一個包含新匯入金鑰材料的新 CMK，然後將別名重新指向新建立的 CMK。AWS KMS 不支援對匯入的金鑰材料進行自動輪換。要輪換匯入的金鑰材料，您必須建立一個新的 CMK，將新的金鑰材料匯入其中，然後更新應用程式或別名以使用新的 CMK。由於應用程式是透過別名引用 CMK，因此只需將別名更新為指向新的 CMK，無需修改應用程式程式碼。 啟用自動輪換並指定六個月的間隔是錯誤的，因為自動輪換不適用於匯入的金鑰材料。從現有的 CMK 中移除目前的匯入金鑰材料，然後將新的金鑰材料匯入到同一個 CMK 中是錯誤的，因為這會導致金鑰材料歷史記錄丟失，且可能存在停機風險。將目前金鑰材料的副本匯入到新的 CMK 中作為備份，並在新 CMK 上設定六個月的輪換排程是錯誤的，因為這並未解決輪換原始匯入金鑰材料的需求，且備份金鑰材料通常不是輪換的正確程序。