Uma empresa está construindo um site de conteúdo estático no Amazon S3 com o Amazon CloudFront. Os usuários devem ser capazes de fazer upload e download de arquivos grandes. A política da empresa exige que todos os dados sejam criptografados tanto em trânsito quanto em repouso. Qual combinação de ações satisfará os requisitos de criptografia? (Escolha três.)

Habilitar a criptografia do lado do servidor do S3 (SSE) garante que os dados armazenados no S3 estejam criptografados em repouso, atendendo ao requisito de criptografia de dados armazenados. Criar uma política de bucket do S3 que negue solicitações não criptografadas em trânsito força o uso de HTTPS para todas as interações diretas com o bucket S3, garantindo a criptografia em trânsito. Configurar o CloudFront para redirecionar HTTP para HTTPS garante que todas as comunicações entre o usuário final e o CloudFront, e subsequentemente com o S3, sejam criptografadas em trânsito. As opções incorretas são: Adicionar "aws:SecureTransport": "true" às ACLs do S3 não é a forma correta de impor TLS; políticas de bucket são o método recomendado. O CloudFront não armazena dados em repouso de forma persistente para exigir SSE-KMS nele; o S3 é o armazenamento principal. A opção RequireSSL em URLs pré-assinadas é uma boa prática, mas a política de bucket e o redirecionamento do CloudFront fornecem uma cobertura mais abrangente e obrigatória para todas as operações, não apenas para URLs pré-assinadas.