Uma empresa armazena dados confidenciais no Amazon S3. Um arquiteto de soluções deve criar uma solução de criptografia que dê à empresa controle total para criar, rotacionar e desabilitar chaves de criptografia, com o mínimo de esforço para quaisquer dados que precisem ser criptografados. Qual solução atende a esses requisitos?

A opção correta é criar uma chave gerenciada pelo cliente (CMK) no AWS KMS e usá-la com SSE-KMS. Isso oferece controle total sobre a criação, rotação e desativação das chaves de criptografia, pois a empresa gerencia a CMK. O SSE-KMS integra-se nativamente com o S3, minimizando o esforço. SSE-S3 não atende ao requisito de controle total, pois as chaves são gerenciadas pela AWS. Uma chave gerenciada pela AWS no KMS também não oferece controle total, pois a AWS gerencia a chave, não o cliente. Baixar, criptografar e reenviar os objetos é um processo manual e ineficiente, não sendo uma solução prática para grandes volumes de dados ou para o requisito de "mínimo esforço".