Uma empresa planeja armazenar dados em instâncias de banco de dados Amazon RDS e deve criptografar os dados em repouso. O que um arquiteto de soluções deve fazer para atender a esse requisito?

Para criptografar dados em repouso em instâncias do Amazon RDS, o método correto é usar o AWS Key Management Service (KMS). Ao criar uma chave no KMS e habilitar a criptografia para a instância de banco de dados RDS, todos os dados armazenados no banco de dados, backups automatizados, snapshots de leitura e réplicas de leitura serão criptografados. As opções incorretas são: "Crie uma chave de criptografia. Armazene a chave no AWS Secrets Manager. Use a chave para criptografar as instâncias de banco de dados." O Secrets Manager é para gerenciar segredos como credenciais, não para armazenar chaves de criptografia de dados em repouso para serviços como RDS. O RDS se integra diretamente com o KMS para criptografia. "Gere um certificado no AWS Certificate Manager (ACM). Habilite SSL/TLS nas instâncias de banco de dados usando o certificado." e "Gere um certificado no AWS Identity and Access Management (IAM). Habilite SSL/TLS nas instâncias de banco de dados usando o certificado." O SSL/TLS (com certificados do ACM ou IAM) é usado para criptografar dados em trânsito (entre o cliente e o banco de dados), não dados em repouso.