Ein Data Engineer startet einen Amazon EMR-Cluster. Der in den Cluster zu ladende Datensatz befindet sich in einem Amazon S3-Bucket und ist mit einem AWS KMS-Schlüssel verschlüsselt. Ein S3-Pfad enthält eine PEM-Datei für die In-Transit-Verschlüsselung. Welcher Ansatz erfüllt die Anforderung, dass Daten sowohl ruhend als auch während der Übertragung verschlüsselt werden?

Die richtige Antwort ist, eine einzelne Amazon EMR-Sicherheitskonfiguration zu erstellen, die sowohl die At-Rest-Verschlüsselung (mit AWS KMS für S3) als auch die In-Transit-Verschlüsselung (mit dem S3-Pfad zur PEM-Datei) definiert. Diese Sicherheitskonfiguration wird dann beim Starten des EMR-Clusters angewendet. EMR-Sicherheitskonfigurationen sind dafür konzipiert, alle Verschlüsselungseinstellungen für einen Cluster zentral zu verwalten. Die erste falsche Option ist ineffizient, da EMR-Sicherheitskonfigurationen sowohl At-Rest- als auch In-Transit-Verschlüsselungseinstellungen in einer einzigen Konfiguration unterstützen. Zwei separate Konfigurationen sind unnötig und nicht der Standardansatz. Die zweite falsche Option spricht von "lokaler Festplattenverschlüsselung für den S3-Bucket", was eine falsche Formulierung ist. KMS-Schlüssel werden für die Verschlüsselung von Daten in S3 verwendet (At-Rest), nicht für lokale Festplatten im Kontext eines S3-Buckets. Die vierte falsche Option ist fast korrekt, aber die Formulierung "hängen Sie die Sicherheitskonfiguration an den Cluster an" ist weniger präzise als "verwenden Sie die Sicherheitskonfiguration während der Erstellung des EMR-Clusters", was den korrekten Workflow besser beschreibt. Die Sicherheitskonfiguration wird beim Erstellen des Clusters angewendet.