Um aplicativo armazena arquivos confidenciais no Amazon S3 e deve criptografar dados em repouso. A política da empresa exige um registro de auditoria que mostre quando a chave do AWS KMS foi usada e qual principal a utilizou. Qual opção de criptografia do lado do servidor satisfaz esse requisito?

SSE-KMS (Server-Side Encryption with AWS KMS managed keys) é a opção correta porque ela integra o Amazon S3 com o AWS Key Management Service (KMS). Essa integração permite que o KMS registre todas as solicitações de uso da chave no AWS CloudTrail. O CloudTrail, por sua vez, fornece um registro de auditoria detalhado, mostrando quando a chave foi usada e por qual principal, atendendo diretamente ao requisito da política da empresa. SSE-S3 (Server-Side Encryption with Amazon S3 managed keys) usa chaves gerenciadas pelo S3 e não oferece o mesmo nível de rastreabilidade de uso da chave via CloudTrail que o KMS. SSE-C (Server-Side Encryption with customer-provided keys) exige que o cliente forneça e gerencie suas próprias chaves, o que não se integra automaticamente com o CloudTrail para auditoria de uso da chave. A opção de chaves gerenciadas pelo cliente fora do KMS também não forneceria a auditoria necessária via AWS CloudTrail.