Uma empresa está implantando um aplicativo em instâncias Amazon EC2 que grava em volumes Amazon Elastic Block Store (Amazon EBS). A empresa deve garantir que todos os dados gravados nos volumes EBS sejam criptografados em repouso. Qual solução atende a esse requisito?

A solução correta é criar os volumes EBS já criptografados e então anexá-los às instâncias EC2. Ao criar um volume EBS, você tem a opção de criptografá-lo diretamente. Quando um volume criptografado é anexado a uma instância EC2, todos os dados gravados nele são automaticamente criptografados em repouso. As outras opções estão incorretas porque: Uma função IAM não especifica a criptografia de volumes EBS; ela controla permissões. Uma tag de instância EC2 é para organização e automação, não para impor criptografia de dados. Uma política de chave do AWS KMS pode gerenciar chaves de criptografia e impor políticas de uso, mas a criptografia do volume em si é definida na criação do volume ou configurada para criptografar novos volumes por padrão na região, não diretamente por uma política de chave para volumes existentes ou futuros de forma autônoma sem configuração adicional.