Elige la estrategia correcta de rotación de claves de KMS

Tu equipo de seguridad exige que la clave administrada por el cliente de AWS KMS que protege una tabla sensible de DynamoDB rote su material criptográfico con regularidad, sin perder la capacidad de descifrar los datos que ya se cifraron con el material anterior. Quieres cumplir este requisito con la menor carga operativa posible.

¿Qué estrategia de rotación de claves de KMS deberías usar?