Uma aplicação deve criptografar centenas de arquivos de vídeo dentro da aplicação antes de armazená-los, usando uma chave única por vídeo. Como o desenvolvedor deve implementar a criptografia na aplicação?

A opção correta é usar KMS GenerateDataKey porque ela permite gerar uma chave de dados única para cada vídeo, criptografar o vídeo localmente com essa chave e, em seguida, armazenar a chave de dados criptografada pelo KMS junto com o vídeo criptografado. Isso é eficiente para grandes volumes de dados, pois a criptografia e descriptografia dos dados ocorrem localmente, minimizando chamadas à API KMS, que tem limites de taxa. A opção de usar KMS Encrypt diretamente para criptografar os dados é inviável para arquivos grandes como vídeos, pois a API Encrypt tem um limite de 4KB de dados. Gerar uma chave de criptografia com uma biblioteca dentro da aplicação e armazená-la não oferece a segurança e o gerenciamento centralizado de chaves que o KMS proporciona. A opção de fazer upload para um bucket S3 com criptografia do lado do servidor (SSE-KMS) é uma solução válida para armazenamento, mas a questão pede para criptografar dentro da aplicação antes de armazenar, o que sugere um controle mais granular da chave de dados por vídeo antes do upload, e não apenas depender da criptografia do S3.