Ein Entwickler muss Kundenbestellungen in DynamoDB speichern, und das Unternehmen verlangt, dass alle ruhenden Daten mit einem vom Unternehmen generierten und verwalteten Schlüssel verschlüsselt werden. Was sollte der Entwickler tun, um diese Anforderung zu erfüllen?

Die korrekte Option ist, den Firmenschlüssel in AWS KMS zu speichern und beim Erstellen der DynamoDB-Tabelle einen vom Kunden verwalteten AWS KMS-Schlüssel (CMK) anzugeben. Dies erfüllt die Anforderung, dass ruhende Daten mit einem vom Unternehmen generierten und verwalteten Schlüssel verschlüsselt werden. DynamoDB unterstützt die serverseitige Verschlüsselung mit KMS-Schlüsseln. Die erste Option ist falsch, da das manuelle Verschlüsseln und Entschlüsseln von Daten in der Anwendung komplex ist und die Vorteile der nativen DynamoDB-Verschlüsselung nicht nutzt. Die dritte Option ist falsch, da die Standardverschlüsselung von DynamoDB AWS-eigene Schlüssel verwendet und nicht den vom Unternehmen bereitgestellten Schlüssel. Außerdem kann kms:Encrypt nicht einfach über das DynamoDB SDK hinzugefügt werden, um die Verschlüsselung zu ändern. Die vierte Option ist falsch, da AWS-verwaltete KMS-Schlüssel zwar von AWS verwaltet werden, aber nicht die Anforderung erfüllen, dass der Schlüssel vom Unternehmen generiert und verwaltet wird.