Uma empresa está desenvolvendo um novo aplicativo na AWS. O aplicativo inclui um cluster Amazon ECS, um bucket Amazon S3 que armazena ativos do aplicativo e um banco de dados Amazon RDS para MySQL que contém um conjunto de dados sensíveis. A empresa quer garantir que apenas o cluster ECS possa acessar o banco de dados RDS e o bucket S3. Qual solução atende a esses requisitos?

A criação de uma chave gerenciada pelo cliente (CMK) no AWS KMS e a concessão de permissões de criptografia/descriptografia à função de execução de tarefas do ECS na política de chaves do KMS garantem que apenas o cluster ECS, que assume essa função, possa acessar os dados criptografados no S3 e no RDS. Isso estabelece um controle de acesso baseado em identidade para os recursos sensíveis. As outras opções são incorretas porque: Usar uma chave gerenciada pela AWS (AWS KMS key) não permite controle granular de acesso via política de chaves para entidades específicas como a função ECS. Restringir o acesso via política de bucket S3 e Security Groups do RDS é uma boa prática para controle de rede, mas não aborda a criptografia e o controle de acesso baseado em identidade de forma tão abrangente quanto o KMS para dados sensíveis. Criar VPC endpoints para S3 e RDS melhora a segurança da rede, mas não é o principal mecanismo para garantir que apenas o cluster ECS possa acessar os dados, especialmente no contexto de dados sensíveis e criptografia.