Uma empresa médica precisa transformar grandes volumes de dados de ensaios clínicos de vários clientes. Os dados são extraídos de um banco de dados relacional, transformados com regras complexas e, em seguida, carregados para o Amazon S3. Todos os dados devem ser criptografados enquanto são processados e antes de serem armazenados no S3, e os dados de cada cliente devem ser criptografados com uma chave específica do cliente. Qual solução atende a esses requisitos com o MENOR esforço operacional?

A opção correta é criar um job do AWS Glue para cada cliente e anexar uma configuração de segurança que use criptografia do lado do cliente com chaves gerenciadas pelo AWS KMS (CSE-KMS). O AWS Glue é um serviço ETL sem servidor que simplifica a transformação de dados, minimizando o esforço operacional. Usar um job por cliente permite a personalização das regras de transformação e a aplicação de chaves KMS específicas para cada cliente, atendendo ao requisito de criptografia com chave individual. A criptografia CSE-KMS garante que os dados sejam criptografados durante o processamento e antes de serem armazenados no S3, utilizando chaves gerenciadas de forma segura pelo KMS. As outras opções são menos ideais: Usar SSE-S3 não atende ao requisito de chaves específicas do cliente, pois SSE-S3 usa uma chave única para o bucket ou objeto. Criar um cluster Amazon EMR para cada cliente aumenta significativamente o esforço operacional e o custo, pois EMR é um serviço gerenciado de cluster Hadoop/Spark que exige mais gerenciamento do que o Glue. Usar CSE-Custom com EMR também aumenta o esforço operacional e de gerenciamento de chaves, enquanto SSE-KMS com EMR, embora use KMS, ainda incorre no alto esforço operacional do EMR e não especifica a criptografia do lado do cliente durante o processamento.