某个应用程序从第三方系统获取敏感数据，并将其格式化为大于 1 MB 的 PDF 文件。开发人员将使用 KMS 对称客户管理密钥对磁盘上的文件进行加密，然后解密以供下载。使用 GenerateDataKey API，哪种方法可以正确加密 PDF 文件，以便以后可以解密？

正确答案描述了使用KMS GenerateDataKey API进行信封加密的标准和安全实践。GenerateDataKey API返回两个密钥：一个明文数据密钥，用于在本地加密数据；一个加密（密文）数据密钥，用于安全存储。将加密数据密钥与加密文件一起存储，并在需要时使用KMS Decrypt API解密以获取明文数据密钥，从而解密文件。 选项B不安全，因为它将明文密钥存储在磁盘上，这违背了使用KMS的目的。选项C和D错误地建议使用KMS Encrypt API来加密文件本身。KMS Encrypt API用于加密小块数据（最大4KB），不适合直接加密大文件。对于大文件，应使用本地对称算法和GenerateDataKey返回的明文数据密钥进行加密。