Ein Unternehmen nutzt AWS Organizations, um mehrere Konten zu verwalten, und verarbeitet große Mengen sensibler Daten. Daten werden in Amazon S3 und Amazon DynamoDB gespeichert und von AWS Lambda-Funktionen und containerisierten Services auf Amazon EKS auf AWS Fargate abgerufen. Das Unternehmen muss alle ruhenden Daten verschlüsseln und das Least Privilege-Prinzip für den Datenzugriff durchsetzen. Das Unternehmen hat einen kundenverwalteten AWS KMS key erstellt. Was sollte das Unternehmen als Nächstes tun, um diese Anforderungen zu erfüllen?

Die korrekte Antwort stellt sicher, dass der KMS-Schlüssel nur von den benötigten Diensten (S3, DynamoDB, Lambda, EKS) für die Entschlüsselung verwendet werden kann, was dem Least-Privilege-Prinzip entspricht. Die Service Control Policy (SCP) erzwingt die Verschlüsselung ruhender Daten, indem sie die Erstellung unverschlüsselter S3-Buckets und DynamoDB-Tabellen verhindert. Die erste Option ist unzureichend, da sie Lambda und EKS nicht in der Schlüsselrichtlinie berücksichtigt. Die zweite Option ist falsch, da das Verweigern von kms:Decrypt die Nutzung des Schlüssels unmöglich macht und eine geplante Lambda-Funktion zum Anhängen von Richtlinien keine proaktive Sicherheitsmaßnahme ist. Die vierte Option ist unzureichend, da eine AWS Config-Regel nur auf Compliance-Verstöße hinweist, diese aber nicht verhindert, wie es eine SCP tun würde.