Um bucket S3 contém dados confidenciais criptografados com uma chave KMS. Várias outras contas AWS precisam de permissão para chamar GetObject no bucket. Como você pode garantir que todas as solicitações para recuperar objetos usem criptografia em trânsito?

A opção correta é anexar uma política de bucket baseada em recurso que negue o acesso quando a condição aws:SecureTransport for falsa. Essa política de bucket garante que todas as solicitações para o S3 usem HTTPS (criptografia em trânsito), bloqueando qualquer tentativa de acesso via HTTP. A segunda opção está incorreta porque permitir o acesso quando aws:SecureTransport for falsa faria o oposto do que é desejado, permitindo conexões não seguras. A terceira opção está incorreta porque a política de função nas outras contas controla o que essas contas podem fazer, mas não impõe a criptografia em trânsito para o bucket S3. A política de bucket é o local correto para essa imposição. A quarta opção está incorreta porque uma política na chave KMS controla o acesso à chave em si, não as condições de transporte para o bucket S3.