选好密钥，就要接受随之而来的限制

一个新建的存储桶用于保存每晚的导出。它将使用 SSE-KMS，而不是默认选项，这样密钥的使用会出现在 CloudTrail 中。它已经有两个要求：合作方账户 999988887777 需要能够解密，安全评审还要求每 90 天替换一次密钥材料。

打开 Key custody 控制台。先选择 aws/s3，因为这是在不创建自有密钥时系统提供给您的密钥，然后在其下完成两个步骤。阅读每一次的拒绝原因。

接着切换到 alias/reports，再次执行相同的两个步骤。

右侧的条带列出了两个密钥的共同点，因此请忽略其中的任何内容。

选择 alias/reports 允许、而 aws/s3 拒绝的两项操作。