Um desenvolvedor deve armazenar pedidos de clientes no DynamoDB, e a empresa exige que todos os dados em repouso sejam criptografados usando uma chave gerada e gerenciada pela empresa. O que o desenvolvedor deve fazer para satisfazer esse requisito?

A opção correta é armazenar a chave da empresa no AWS KMS e, ao criar a tabela DynamoDB, escolher uma chave gerenciada pelo cliente (CMK) do AWS KMS, fornecendo o ARN dessa chave. Isso garante que os dados em repouso sejam criptografados com uma chave gerada e gerenciada pela empresa, atendendo ao requisito de segurança. A primeira opção está incorreta porque a criptografia no lado do aplicativo é ineficiente e não aproveita a criptografia em repouso nativa do DynamoDB. A terceira opção está incorreta porque a criptografia padrão do DynamoDB usa chaves gerenciadas pela AWS, e a inclusão de kms:Encrypt no SDK não altera a chave de criptografia em repouso da tabela. A quarta opção está incorreta porque, embora use o KMS, especifica uma chave gerenciada pela AWS, o que não atende ao requisito de uma chave gerenciada pela empresa.