Choisir la bonne stratégie de rotation de clé KMS

Votre équipe de sécurité exige que la clé gérée par le client d'AWS KMS qui protège une table DynamoDB sensible voie son matériel cryptographique tourné régulièrement, sans perdre la capacité de déchiffrer les données déjà chiffrées avec l'ancien matériel. Vous voulez satisfaire cette exigence avec le moins de charges opérationnelles possible.

Quelle stratégie de rotation de clé KMS devriez-vous utiliser?