Um grupo de logs do CloudWatch Logs (criado há 2 meses) deve ter dados de log futuros criptografados com uma chave AWS KMS gerenciada pelo cliente para atender a um requisito de segurança. Qual opção atende a essa necessidade com o menor esforço?

A opção correta é usar o comando aws logs associate-kms-key da AWS CLI. Este comando permite associar uma chave KMS a um grupo de logs existente, criptografando os dados de log futuros com a chave especificada. É a maneira mais direta e com menor esforço para atender ao requisito de segurança para um grupo de logs já criado. Criptografar e descriptografar os dados antes de gravar no grupo de logs usando o AWS Encryption SDK adicionaria complexidade desnecessária e exigiria modificações na aplicação que gera os logs. Usar o console do AWS KMS para anexar a chave KMS diretamente ao grupo de logs não é uma funcionalidade disponível. O comando aws logs create-log-group com o ARN da chave KMS especificado é para criar um novo grupo de logs já com a chave associada, não para um grupo de logs existente.