Uma empresa executa um cron job em uma instância do Amazon EC2 em um agendamento. O cron job invoca um script bash que criptografa um arquivo de 2 KB. Uma chave e política do AWS Key Management Service (AWS KMS) gerenciadas pelo cliente estão configuradas, e a função da instância EC2 tem as permissões necessárias. Qual processo o script bash deve usar para criptografar o arquivo?

A opção correta é usar o comando aws kms encrypt para criptografar o arquivo diretamente com a chave KMS existente. Este comando permite criptografar pequenos volumes de dados (até 4 KB) diretamente com uma chave KMS gerenciada pelo cliente, o que é ideal para o arquivo de 2 KB mencionado. A função da instância EC2 já possui as permissões necessárias, simplificando o processo. A opção de usar aws kms create-grant está incorreta porque concessões são usadas para delegar permissões de forma granular, não para criptografar dados diretamente. A opção de usar aws kms encrypt para gerar uma chave de dados e usar a chave de dados de texto simples para criptografar o arquivo está incorreta e representa uma falha de segurança, pois a chave de dados em texto simples não deve ser usada para criptografar dados de forma persistente e deve ser descartada após o uso. A opção de usar aws kms generate-data-key para gerar uma chave de dados e usar a chave de dados criptografada (ciphertext) para criptografar o arquivo está incorreta porque a chave de dados criptografada não pode ser usada para criptografar dados; ela precisa ser descriptografada primeiro para obter a chave de texto simples.