Um desenvolvedor deve migrar dados on-premises para o S3 usando o AWS KMS para criptografia, e as chaves de criptografia devem suportar rotação anual automática. Que tipo de chave KMS deve ser usado para satisfazer esses requisitos?

A opção correta é "CMKs simétricas gerenciadas pelo cliente com material de chave gerado pela AWS". As CMKs (Customer Master Keys) simétricas gerenciadas pelo cliente permitem a rotação automática anual de chaves, um requisito explícito na questão. Além disso, usar material de chave gerado pela AWS é uma prática comum e segura para a maioria dos casos de uso. "Chaves de criptografia gerenciadas pelo Amazon S3" (SSE-S3) não oferecem rotação anual automática controlada pelo cliente; a rotação é gerenciada pelo S3 e não é divulgada. "CMKs assimétricas gerenciadas pelo cliente com material de chave gerado pela AWS" não suportam rotação automática de chaves. "CMKs simétricas gerenciadas pelo cliente com material de chave importado" também não suportam rotação automática de chaves, pois o material da chave é fornecido pelo cliente e a AWS não pode rotacioná-lo.