Ein Unternehmen plant, Daten in einen Amazon S3-Bucket zu migrieren. Die Daten müssen in S3 im Ruhezustand verschlüsselt werden, und der Verschlüsselungsschlüssel muss jährlich automatisch rotiert werden. Welche Lösung erfüllt diese Anforderungen mit dem geringsten Betriebsaufwand?

Die korrekte Lösung erfüllt die Anforderungen nach Verschlüsselung im Ruhezustand und automatischer jährlicher Schlüsselrotation mit dem geringsten Betriebsaufwand. Ein kundenverwalteter Schlüssel (CMK) in AWS KMS ermöglicht die Aktivierung der automatischen Schlüsselrotation, die standardmäßig jährlich erfolgt. Durch die Festlegung dieses CMK als Standardverschlüsselung für den S3-Bucket wird sichergestellt, dass alle hochgeladenen Objekte automatisch verschlüsselt werden, ohne dass manuelle Schritte für die Rotation erforderlich sind. SSE-S3 bietet zwar Verschlüsselung im Ruhezustand, aber die Schlüsselrotation ist nicht direkt vom Kunden steuerbar oder garantiert jährlich. Die manuelle Rotation eines KMS-Schlüssels würde den Betriebsaufwand erhöhen. Die Verwendung von kundeneigenem Schlüsselmaterial in KMS erfordert das Importieren und Verwalten des Materials, was komplexer ist und nicht die einfachste Lösung für automatische Rotation ist, da die automatische Rotation nur für KMS-generierte Schlüssel gilt.