Uma empresa carrega regularmente dados confidenciais para o Amazon S3 para análise. A política de segurança exige que os objetos sejam criptografados em repouso, a chave de criptografia deve ser rotacionada automaticamente anualmente, a rotação da chave deve ser rastreável no AWS CloudTrail e os custos da chave devem ser minimizados. Qual solução atende a esses requisitos?

A opção SSE-KMS (Server-Side Encryption with AWS KMS keys) é a correta porque atende a todos os requisitos. Ela criptografa objetos em repouso no S3, usa chaves gerenciadas pelo AWS Key Management Service (KMS), que rotaciona automaticamente as chaves anualmente por padrão. As operações do KMS são registradas no AWS CloudTrail, garantindo rastreabilidade. Além disso, o KMS é um serviço gerenciado que oferece um custo-benefício favorável para gerenciamento de chaves. SSE-C (chaves fornecidas pelo cliente) não rotaciona chaves automaticamente e o gerenciamento é responsabilidade do cliente. SSE-S3 (chaves gerenciadas pelo Amazon S3) não permite rotação automática de chaves rastreável no CloudTrail, e as chaves não são gerenciadas pelo KMS. A opção de chaves do AWS KMS gerenciadas pelo cliente (CMK) é redundante, pois o SSE-KMS já utiliza chaves do KMS, e o requisito de "custos minimizados" favorece o uso do KMS padrão em vez de uma CMK personalizada, que pode ter custos adicionais dependendo do uso.