Uma nova workload usa um banco de dados Amazon RDS for MySQL Multi-AZ. A empresa exige que todos os dados em repouso sejam criptografados e que as chaves sejam rotacionadas anualmente. Qual configuração satisfaz esses requisitos?

A opção correta é criar uma chave AWS KMS gerenciada pelo cliente (CMK), habilitar a rotação automática para essa chave e usar essa CMK para criptografar o RDS na criação do banco de dados. Isso satisfaz o requisito de criptografia de dados em repouso e rotação anual de chaves, pois as CMKs no KMS podem ter rotação automática configurada. A opção de habilitar Transparent Data Encryption (TDE) no MySQL não é a solução ideal para o RDS, pois o RDS gerencia a criptografia em nível de armazenamento, e a rotação manual da chave não atende ao requisito de automação. Habilitar a criptografia do RDS com uma chave gerenciada pela AWS não permite a rotação anual automática, pois essas chaves não são rotacionadas automaticamente pelo cliente. Criptografar os volumes EBS diretamente não é a forma correta de criptografar o RDS; a criptografia é habilitada no nível da instância de banco de dados do RDS, que por sua vez criptografa os volumes subjacentes.