Ein Entwickler muss eine Anwendung in eine andere AWS-Region erweitern, indem er AMIs kopiert und einen neuen Anwendungs-Stack erstellt. Die Unternehmensrichtlinie verlangt, dass alle AMIs in jeder Region verschlüsselt sind, aber einige aktuelle AMIs sind unverschlüsselt. Wie kann der Entwickler in die Zielregion erweitern und gleichzeitig sicherstellen, dass die AMIs verschlüsselt sind?

Die richtige Lösung besteht darin, neue verschlüsselte AMIs zu erstellen und diese dann in die Zielregion zu kopieren. AWS bietet keine direkte Möglichkeit, ein bestehendes unverschlüsseltes AMI zu verschlüsseln. Stattdessen muss man ein neues AMI aus einer EC2-Instanz erstellen, die von dem unverschlüsselten AMI gestartet wurde, und dabei die Verschlüsselung aktivieren. Anschließend kann dieses verschlüsselte AMI in die Zielregion kopiert werden. Die unverschlüsselten AMIs können dann entfernt werden, um die Richtlinienkonformität zu gewährleisten. Die Option, AWS KMS zur Aktivierung der Verschlüsselung für bestehende unverschlüsselte AMIs zu verwenden, ist falsch, da KMS zur Schlüsselverwaltung dient, nicht zur direkten Verschlüsselung bestehender AMIs. AWS Certificate Manager (ACM) ist ebenfalls unzutreffend, da es für SSL/TLS-Zertifikate zuständig ist und nichts mit der Verschlüsselung von AMIs zu tun hat. Das Kopieren unverschlüsselter AMIs in die Zielregion und das anschließende Aktivieren der Verschlüsselung ist nicht möglich, da die Verschlüsselung beim Erstellen des AMIs festgelegt wird und nicht nachträglich geändert werden kann.