一家公司将在两个 AWS 区域的 Amazon S3 存储桶中存储数据，并且必须使用 AWS KMS 客户管理型密钥来加密这些 S3 存储桶中的所有数据。两个 S3 存储桶中的数据都必须使用相同的 KMS 密钥进行加密和解密，并且数据和密钥都必须存储在两个区域中。哪种解决方案能够以最少的操作开销满足这些要求？

正确答案是创建客户管理型多区域 KMS 密钥，在每个区域中创建一个 S3 存储桶，配置 S3 存储桶之间的复制，并配置应用程序以使用 KMS 密钥进行客户端加密。因为题目要求使用相同的 KMS 密钥在两个区域加密和解密数据，并且数据和密钥都必须存储在两个区域，多区域 KMS 密钥是唯一能满足此要求的选项，它允许密钥在不同区域间复制并保持相同的密钥 ID。客户端加密确保应用程序在数据离开客户端之前就已加密，增加了安全性。其他选项不满足所有要求：SSE-S3 不使用客户管理型密钥；在每个区域创建独立的 KMS 密钥会导致密钥 ID 不同，不满足“相同的 KMS 密钥”要求；SSE-KMS 虽使用 KMS 密钥，但如果密钥不是多区域的，则无法在不同区域间无缝使用同一个密钥。