A FinServe Analytics executa uma instância de produção do Amazon RDS para PostgreSQL em us-east-1 que foi criada sem criptografia. A conformidade agora exige criptografia em repouso usando uma chave KMS gerenciada pelo cliente. Eles querem minimizar o tempo de inatividade durante a migração. O que eles devem fazer?

A opção correta minimiza o tempo de inatividade e atende aos requisitos de conformidade. Ao tirar um snapshot do DB não criptografado, copiá-lo com criptografia usando uma chave KMS gerenciada pelo cliente e restaurar uma nova instância criptografada, a FinServe Analytics cria um ambiente criptografado sem impactar a instância de produção original. O cutover pode ser agendado para uma janela de manutenção, garantindo interrupção mínima. A modificação da instância existente para habilitar a criptografia in-place não é possível para instâncias RDS não criptografadas; a criptografia deve ser definida no momento da criação ou via snapshot/restauração. Habilitar a criptografia do EBS por padrão não criptografa volumes existentes do RDS. Compartilhar uma CMK e tentar habilitar a criptografia na instância existente também não é uma funcionalidade disponível para instâncias RDS não criptografadas.