一家公司计划将其应用程序重新托管到使用 Amazon Elastic Block Store (Amazon EBS) 作为附加存储的 Amazon EC2 实例上。解决方案架构师必须确保所有新创建的 Amazon EBS 卷默认加密，并防止创建未加密的 EBS 卷。哪种解决方案满足这些要求？

正确答案是配置 EC2 账户属性以始终加密新的 EBS 卷。通过在特定区域为您的 AWS 账户启用“默认加密”，所有在该区域创建的新 EBS 卷（包括从快照创建的卷）都将自动加密。这满足了确保所有新创建的 EBS 卷默认加密并防止创建未加密卷的要求。 其他选项不正确： 使用 AWS Config 配置 encrypted-volumes 标识符可以审计未加密的卷，但不能阻止其创建。 配置 AWS Systems Manager 以创建加密副本并在之后重新配置实例，这是一种事后补救措施，不能阻止最初创建未加密卷。 在 AWS KMS 中创建客户管理型密钥是加密过程的一部分，但仅创建密钥并配置 AWS Migration Hub 并不能强制所有新 EBS 卷默认加密。Migration Hub 用于跟踪迁移，而不是强制 EBS 加密策略。