Ein Unternehmen entwickelt eine neue Anwendung auf AWS. Die Anwendung umfasst einen Amazon ECS-Cluster, einen Amazon S3-Bucket, der Anwendungsressourcen speichert, und eine Amazon RDS for MySQL-Datenbank, die einen sensiblen Datensatz enthält. Das Unternehmen möchte sicherstellen, dass nur der ECS-Cluster auf die RDS-Datenbank und den S3-Bucket zugreifen kann. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Option ist die beste Lösung, da sie eine granulare Zugriffskontrolle und Verschlüsselung bietet. Durch die Verwendung eines kundenverwalteten KMS-Schlüssels (CMK) für S3 und RDS kann die Schlüsselrichtlinie explizit der ECS-Aufgabenausführungsrolle die Berechtigung zur Ver- und Entschlüsselung erteilen. Dies stellt sicher, dass nur der ECS-Cluster, der diese Rolle annimmt, auf die verschlüsselten Daten zugreifen kann. Die anderen Optionen sind unzureichend: Ein AWS-verwalteter KMS-Schlüssel bietet nicht die gleiche granulare Kontrolle über die Schlüsselrichtlinie wie ein CMK. Die S3-Bucket-Richtlinie allein kann nicht den Zugriff auf RDS steuern. Das Beschränken des S3-Buckets per Richtlinie und das Aktualisieren der RDS-Sicherheitsgruppe basierend auf Subnetzen ist weniger sicher, da andere Ressourcen in denselben Subnetzen ebenfalls Zugriff hätten. Es bietet keine Authentifizierung auf Anwendungsebene. VPC-Endpunkte und Sicherheitsgruppen sind wichtig für die Netzwerksicherheit, aber sie allein bieten keine identitätsbasierte Zugriffskontrolle auf die Daten in S3 und RDS. Die Anforderung ist, dass nur der ECS-Cluster zugreifen kann, was eine IAM-basierte Berechtigung erfordert.