Uma seguradora de saúde armazena PII em um bucket do Amazon S3 e atualmente usa criptografia do lado do servidor com chaves gerenciadas pelo S3 (SSE-S3). Um novo requisito exige que todos os objetos existentes e futuros no bucket sejam criptografados com chaves gerenciadas pela equipe de segurança da empresa (chaves gerenciadas pelo cliente). O bucket do S3 não tem versionamento habilitado. Qual abordagem satisfaz esse requisito?

A opção correta atende a todos os requisitos: alterar a criptografia padrão do bucket para SSE-KMS garante que novos objetos sejam criptografados com chaves gerenciadas pelo cliente (via KMS). Uma política de bucket que nega PutObject não criptografados reforça essa exigência, impedindo que objetos sem criptografia adequada sejam carregados. O re-upload dos objetos existentes é necessário porque a alteração da configuração de criptografia padrão do bucket não criptografa automaticamente objetos já armazenados. A primeira opção está incorreta porque "SSE-S3 usando uma chave gerenciada pelo cliente" não é uma opção válida; SSE-S3 usa chaves gerenciadas pela AWS. A terceira opção está incorreta porque uma política de bucket não pode "criptografar automaticamente objetos nas solicitações GetObject e PutObject" dessa forma; a criptografia é definida no momento do upload ou por configurações padrão. A quarta opção está incorreta porque "AES-256 com uma chave gerenciada pelo cliente" é imprecisa; a forma correta de usar chaves gerenciadas pelo cliente com criptografia do lado do servidor é via SSE-KMS ou SSE-C.