Um engenheiro de segurança deve habilitar a criptografia contínua de objetos do Amazon S3 sem exigir que os usuários gerenciem as chaves de criptografia diretamente. A solução deve ser escalável com o mínimo de gerenciamento contínuo, e a organização deve ser capaz de revogar e excluir imediatamente as chaves de criptografia. Qual abordagem atende a esses requisitos?

A opção correta é usar o AWS KMS com material de chave importado e chamar DeleteImportedKeyMaterial. O KMS oferece criptografia contínua para S3 sem gerenciamento direto de chaves pelos usuários. A importação de material de chave permite que a organização tenha controle total sobre a revogação e exclusão imediata, atendendo ao requisito de revogabilidade instantânea, pois o material pode ser removido a qualquer momento, tornando a chave inutilizável. As chaves gerenciadas pela AWS no KMS não podem ser excluídas imediatamente; elas seguem um período de espera. O AWS CloudHSM é mais complexo de gerenciar e não se alinha com a necessidade de mínimo gerenciamento contínuo. O AWS Systems Manager Parameter Store não é um serviço de gerenciamento de chaves criptográficas projetado para criptografia de objetos S3 e não oferece as mesmas garantias de segurança e controle que o KMS.