一家公司在 AWS 上运行一个应用程序，该应用程序会生成敏感的归档文件。该公司希望重新设计应用程序的数据存储架构，以便在文件发送到 AWS 之前对其进行加密，从而确保在加密之前任何第三方都无法访问数据。该公司已经创建了一个 Amazon S3 存储桶。哪种解决方案符合这些要求？

正确答案是“将应用程序配置为使用客户端加密和存储在 AWS Key Management Service (AWS KMS) 中的密钥。将应用程序配置为将归档文件存储在 S3 存储桶中。” 客户端加密确保数据在离开应用程序之前就被加密，满足了在数据发送到 AWS 之前进行加密的要求，从而防止任何第三方在加密之前访问数据。AWS KMS 提供安全、集中的密钥管理。 其他选项不符合要求： S3 托管加密密钥 (SSE-S3) 和服务器端加密 (SSE-KMS) 都是在数据到达 S3 服务后才进行加密，不满足在文件发送到 AWS 之前加密的要求。 双层服务器端加密 (DSSE-KMS) 也是在数据到达 S3 后进行加密，不符合在数据发送到 AWS 之前加密的要求。