Escolha a estratégia correta de rotação de chave do KMS

Sua equipe de segurança exige que a chave gerenciada pelo cliente do AWS KMS que protege uma tabela sensível do DynamoDB tenha seu material criptográfico rotacionado regularmente, sem comprometer a capacidade de descriptografar os dados que já foram criptografados com o material anterior. Você quer atender a esse requisito com o menor esforço operacional possível.

Qual estratégia de rotação de chave do KMS você deve usar?