Ein Unternehmen lädt regelmäßig vertrauliche Daten zur Analyse in Amazon S3 hoch. Die Sicherheitsrichtlinie schreibt vor, dass Objekte im Ruhezustand verschlüsselt werden müssen, der Verschlüsselungsschlüssel jährlich automatisch rotiert werden muss, die Schlüsselrotation in AWS CloudTrail nachvollziehbar sein muss und die Schlüsselkosten minimiert werden müssen. Welche Lösung erfüllt diese Anforderungen?

SSE-KMS erfüllt alle Anforderungen, da es die Verschlüsselung ruhender Daten gewährleistet, die automatische jährliche Schlüsselrotation über AWS Key Management Service (KMS) bietet, die Schlüsselnutzung in CloudTrail protokolliert und im Vergleich zu kundenseitig verwalteten KMS-Schlüsseln kostengünstiger ist, da AWS die Verwaltung übernimmt. SSE-C (vom Kunden bereitgestellte Schlüssel) erfordert, dass der Kunde die Schlüsselrotation selbst verwaltet und protokolliert. SSE-S3 (von S3 verwaltete Schlüssel) bietet zwar Verschlüsselung und automatische Rotation, protokolliert die Schlüsselnutzung aber nicht in CloudTrail. Die Verwendung von vom Kunden verwalteten AWS KMS keys würde die Kosten erhöhen, da der Kunde für die Verwaltung und Speicherung der Schlüssel verantwortlich wäre, was den Wunsch nach minimierten Kosten widerspricht.