Um desenvolvedor deve criptografar arquivos localmente (fora da AWS) usando criptografia simétrica dentro do aplicativo antes de carregá-los para um bucket do Amazon S3. Qual abordagem satisfaz esses requisitos?

A abordagem correta é gerar uma chave de dados com o AWS KMS e usar o AWS Encryption SDK no aplicativo para criptografar os arquivos. O AWS KMS pode gerar chaves de dados simétricas que são ideais para criptografia de dados em massa. O AWS Encryption SDK é uma biblioteca cliente que facilita a criptografia e descriptografia de dados usando chaves gerenciadas pelo KMS, integrando-se perfeitamente em aplicações para criptografia local antes do upload. Gerar uma chave HMAC no AWS KMS não é apropriado, pois chaves HMAC são usadas para autenticação e integridade de mensagens, não para criptografia de dados. Usar a AWS CLI para criptografar arquivos não atende ao requisito de criptografia dentro do aplicativo e antes do upload, pois a CLI geralmente opera em arquivos já existentes ou como parte de um pipeline externo. Gerar um par de chaves de dados (assimétrico) seria uma opção, mas o requisito especifica criptografia simétrica, e o AWS Encryption SDK funciona eficientemente com chaves de dados simétricas do KMS para este caso de uso.