Uma empresa planeja migrar dados para um bucket do Amazon S3. Os dados devem ser criptografados em repouso no S3, e a chave de criptografia deve ser rotacionada automaticamente a cada ano. Qual solução atende a esses requisitos com a MENOR sobrecarga operacional?

A opção correta é criar uma chave gerenciada pelo cliente (CMK) no AWS KMS, habilitar a rotação automática de chaves e definir essa CMK como a criptografia padrão do bucket S3. Isso atende aos requisitos de criptografia em repouso e rotação anual automática com a menor sobrecarga operacional, pois o KMS gerencia a rotação. A primeira opção (SSE-S3) não permite rotação anual automática da chave principal, apenas das chaves de dados. A terceira opção exige rotação manual, aumentando a sobrecarga operacional. A quarta opção (importar material de chave) é mais complexa e não é necessária para este cenário, além de não ser a forma mais eficiente de atender ao requisito de rotação automática de chaves gerenciadas pelo cliente no KMS.