Ein Unternehmen speichert sensible Daten in Amazon S3. Ein Solutions Architect muss eine Verschlüsselungslösung erstellen, die dem Unternehmen die vollständige Kontrolle über das Erstellen, Rotieren und Deaktivieren von Verschlüsselungsschlüsseln mit minimalem Aufwand für alle zu verschlüsselnden Daten bietet. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Option erfüllt die Anforderungen, da ein kundenverwalteter Schlüssel (Customer Managed Key, CMK) in AWS KMS die vollständige Kontrolle über die Erstellung, Rotation und Deaktivierung der Verschlüsselungsschlüssel bietet. SSE-KMS ist der Mechanismus, um S3-Objekte mit diesen KMS-Schlüsseln zu verschlüsseln, was einen minimalen Aufwand für die Implementierung bedeutet. SSE-S3 verwendet von Amazon verwaltete Schlüssel, was nicht die vollständige Kontrolle über die Schlüsselrotation und -deaktivierung bietet. Ein von AWS verwalteter Schlüssel in KMS bietet ebenfalls nicht die vollständige Kontrolle, da AWS die Schlüsselrotation verwaltet. Das Herunterladen auf eine EC2-Instanz, die manuelle Verschlüsselung und das erneute Hochladen ist ineffizient, aufwändig und nicht skalierbar für alle Daten, was den Anforderungen an minimalen Aufwand widerspricht.