選好金鑰，就要承擔後果

一個新的 bucket 用來存放夜間匯出，這次改用 SSE-KMS 而不是預設值，好讓金鑰使用紀錄出現在 CloudTrail。現在已經有兩個需求：合作夥伴帳號 999988887777 必須能解密，安全性審查也要求每 90 天更換一次金鑰材料。

開啟 Key custody 主控台。先選 aws/s3，因為它是不用自己建立就會提供給你的金鑰，並在其下方完成兩個步驟。讀讀每一次被拒的原因。

接著切換到 alias/reports，再做一次相同的兩個步驟。

右側的條帶列出兩把金鑰的共通點，所以請忽略其上的任何項目。

選出兩個 alias/reports 願意讓你做、但 aws/s3 拒絕的項目。