Uma empresa precisa compartilhar dados contábeis com um auditor externo. Os dados são armazenados em uma instância de banco de dados Amazon RDS em uma sub-rede privada. O auditor tem sua própria conta AWS e requer sua própria cópia do banco de dados. Qual é a maneira MAIS segura de compartilhar o banco de dados com o auditor?

A opção correta é criar um snapshot criptografado do banco de dados, compartilhá-lo com o auditor e permitir acesso à chave AWS KMS. Esta é a maneira mais segura e eficiente porque o snapshot contém uma cópia pontual dos dados, e o compartilhamento direto do snapshot entre contas AWS é um recurso nativo e seguro. O auditor pode restaurar o snapshot em sua própria conta, garantindo isolamento e controle. Criar uma réplica de leitura não é ideal porque o auditor teria acesso contínuo aos dados em tempo real, o que pode não ser necessário e aumenta a superfície de ataque. Exportar para S3 e criar um usuário IAM para o auditor é menos seguro, pois os dados seriam exportados em texto (potencialmente sem criptografia em trânsito ou em repouso se não configurado corretamente) e o auditor teria que reimportá-los. Copiar um snapshot para S3 e compartilhar chaves IAM é inseguro, pois compartilhar chaves de acesso é uma prática desaconselhada pela AWS devido a riscos de segurança.