Ein Sicherheitsingenieur muss die nahtlose Verschlüsselung von Amazon S3-Objekten ermöglichen, ohne dass Benutzer die Verschlüsselungsschlüssel direkt verwalten müssen. Die Lösung muss mit minimalem laufendem Verwaltungsaufwand skalierbar sein, und die Organisation muss in der Lage sein, die Verschlüsselungsschlüssel sofort zu widerrufen und zu löschen. Welcher Ansatz erfüllt diese Anforderungen?

Die Verwendung von AWS KMS mit importiertem Schlüsselmaterial (BYOK) ermöglicht die sofortige Widerrufung und Löschung der Schlüssel über DeleteImportedKeyMaterial, da Sie die Kontrolle über das Schlüsselmaterial behalten. Dies erfüllt die Anforderung, Schlüssel bei Bedarf sofort zu entfernen, und bietet gleichzeitig nahtlose S3-Verschlüsselung mit minimalem Verwaltungsaufwand. AWS KMS mit von AWS verwalteten Schlüsseln erlaubt keine sofortige Löschung, da PendingWindowInDays mindestens 7 Tage betragen muss. AWS CloudHSM ist zwar sicher, erfordert aber einen höheren Verwaltungsaufwand als KMS und ist nicht die nahtloseste Lösung für S3-Verschlüsselung. Das Speichern von Schlüsseln im AWS Systems Manager Parameter Store ist keine geeignete Methode für die Verwaltung von Verschlüsselungsschlüsseln für S3, da es nicht die gleiche Integration oder Sicherheitsfunktionen wie KMS bietet.