Uma função Lambda gera um arquivo JSON de 3 MB contendo dados confidenciais e o carrega diariamente para o S3. O desenvolvedor deve garantir que o arquivo seja criptografado antes do upload. Qual alteração o desenvolvedor deve implementar para que os dados sejam criptografados antes do upload?

A opção correta é "Chamar a API GenerateDataKey e, em seguida, usar a chave de dados retornada para criptografar o arquivo dentro do código da função Lambda antes do upload." Isso porque a criptografia antes do upload (client-side encryption) exige que a aplicação (neste caso, a função Lambda) realize a criptografia dos dados. A API GenerateDataKey do AWS KMS retorna uma chave de dados que pode ser usada para criptografar o arquivo localmente na função Lambda. As outras opções estão incorretas porque: "Usar a chave padrão do AWS KMS para Amazon S3 de dentro do código da função Lambda" e "Usar uma chave gerenciada pelo cliente do AWS KMS para S3 de dentro do código da função Lambda" descrevem a criptografia do lado do servidor (server-side encryption), onde o S3 criptografa o objeto após o upload. O requisito é criptografar antes do upload. "Usar a chave gerenciada do S3 e chamar a API GenerateDataKey para criptografar o arquivo" é uma combinação incorreta. A chave gerenciada do S3 (SSE-S3) é para criptografia do lado do servidor. A GenerateDataKey é usada para criptografia do lado do cliente.