Uma empresa executa um aplicativo altamente sensível no Amazon EC2, com um banco de dados Amazon RDS como backend. A conformidade exige que todas as informações de identificação pessoal (PII) sejam criptografadas em repouso. Qual solução um arquiteto de soluções deve recomendar para atender a esse requisito com o MÍNIMO de alterações na infraestrutura?

A criptografia em repouso para dados PII exige que tanto os volumes do EC2 (onde o aplicativo está) quanto os volumes do RDS (onde o banco de dados está) sejam criptografados. A opção correta aborda ambos os requisitos usando o AWS KMS, que é a prática recomendada para criptografia gerenciada na AWS e exige o mínimo de alterações na infraestrutura existente. As outras opções são incorretas porque: Implantar o AWS Certificate Manager (ACM) é para certificados SSL/TLS e não para criptografia de volume em repouso. Implantar o AWS CloudHSM é uma solução válida para gerenciamento de chaves, mas é mais complexa e cara do que o KMS, e não é a opção com o MÍNIMO de alterações para este caso. Configurar a criptografia SSL usando chaves do AWS KMS é para criptografia em trânsito (SSL/TLS), não para criptografia em repouso dos volumes.