Uma empresa armazenará dados em buckets do Amazon S3 em duas regiões da AWS e deve usar uma chave gerenciada pelo cliente do AWS KMS para criptografar todos os dados nesses buckets S3. Os dados em ambos os buckets S3 devem ser criptografados e descriptografados com a mesma chave KMS, e tanto os dados quanto a chave devem ser armazenados em cada uma das duas regiões. Qual solução atende a esses requisitos com a MENOR sobrecarga operacional?

A solução correta envolve criar uma chave KMS gerenciada pelo cliente de múltiplas regiões. Isso permite que a mesma chave KMS seja usada em ambas as regiões, atendendo ao requisito de que os dados e a chave estejam em cada região e sejam criptografados/descriptografados com a mesma chave. A criptografia do lado do cliente, usando o AWS SDK, permite que o aplicativo gerencie a criptografia antes de enviar os dados para o S3, garantindo que os dados já estejam criptografados ao serem replicados, e a chave KMS multirregional simplifica o gerenciamento. A opção de usar SSE-S3 não atende ao requisito de usar uma chave KMS gerenciada pelo cliente. A opção de criar uma chave KMS gerenciada pelo cliente e usar SSE-KMS com replicação não garante que a mesma chave seja usada em ambas as regiões, a menos que a chave seja multirregional, o que não é especificado. Além disso, a criptografia do lado do servidor (SSE-KMS) criptografa os dados após eles chegarem ao S3, e a replicação pode exigir configuração adicional para garantir que a chave correta seja usada na região de destino.