Uma empresa usa o AWS Organizations para gerenciar várias contas e processa um grande volume de dados confidenciais. Os dados são armazenados no Amazon S3 e no Amazon DynamoDB, e são acessados por funções AWS Lambda e serviços conteinerizados no Amazon EKS no AWS Fargate. A empresa deve criptografar todos os dados em repouso e aplicar o princípio do menor privilégio para acesso aos dados. A empresa criou uma chave AWS KMS gerenciada pelo cliente. O que a empresa deve fazer a seguir para atender a esses requisitos?

A opção correta atende aos requisitos de criptografia em repouso e princípio do menor privilégio. A política de chave KMS restringe a ação kms:Decrypt aos serviços que precisam acessar os dados criptografados (S3, DynamoDB, Lambda e EKS), aplicando o menor privilégio. O SCP (Service Control Policy) garante que novos buckets S3 e tabelas DynamoDB sejam criados apenas se utilizarem a chave KMS especificada, reforçando a criptografia obrigatória em toda a organização. A primeira opção está incorreta porque restringir kms:Decrypt apenas ao S3 e DynamoDB impediria que Lambda e EKS acessassem os dados. A segunda opção está incorreta porque negar kms:Decrypt inviabilizaria o uso da chave, e uma regra do AWS Config apenas alerta, não impede a criação de recursos não criptografados. A quarta opção está incorreta porque uma regra do AWS Config apenas alerta, não impede a criação de recursos não criptografados, o que é crucial para impor a conformidade em toda a organização.