Uma empresa está desenvolvendo um aplicativo de e-commerce no Amazon EC2 com um banco de dados Amazon RDS for MySQL. Para conformidade, os dados devem ser criptografados em trânsito e em repouso. A solução deve minimizar a sobrecarga operacional e o custo. Qual abordagem atende a esses requisitos?

A opção correta atende a todos os requisitos. O ACM no ALB criptografa o tráfego externo sem sobrecarga de gerenciamento de certificados. Certificados autoassinados nas instâncias EC2 criptografam o tráfego interno entre o ALB e as instâncias. TLS para RDS criptografa a comunicação com o banco de dados. A criptografia do RDS e dos volumes EBS garante a criptografia em repouso de forma gerenciada e econômica. As outras opções são menos ideais porque: Usar certificados TLS de terceiros e instalá-los nas instâncias EC2 aumenta a sobrecarga operacional e o custo. O Secrets Manager para criptografia do lado do cliente não é a abordagem padrão para criptografia em repouso do RDS. O AWS CloudHSM é uma solução de alto custo e complexidade, geralmente desnecessária para a maioria dos casos de uso de conformidade, e não é a forma mais eficiente de gerar e instalar certificados para este cenário. O Amazon CloudFront com AWS WAF é para proteção de borda e entrega de conteúdo, não para criptografia interna entre componentes. Enviar tráfego HTTP para a origem EC2 não atende ao requisito de criptografia em trânsito para o servidor web. A criptografia do lado do cliente com KMS antes de armazenar no RDS é possível, mas a criptografia nativa do RDS é mais simples para dados em repouso.