Ein Unternehmen speichert Trainingsdaten als CSV in S3 und muss diese verschlüsseln, wobei kontrolliert werden soll, welche Anwendungen auf den Verschlüsselungsschlüssel zugreifen können. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die Erstellung eines neuen AWS Key Management Service (AWS KMS)-Schlüssels und die Verwendung der AWS Encryption CLI mit einem Verweis auf diesen KMS-Schlüssel zur Verschlüsselung der Datei. AWS KMS bietet eine zentrale und sichere Verwaltung von Verschlüsselungsschlüsseln und ermöglicht eine feingranulare Kontrolle darüber, welche Anwendungen oder Benutzer auf diese Schlüssel zugreifen dürfen. Die AWS Encryption CLI integriert sich nahtlos mit KMS, um Daten clientseitig zu verschlüsseln, bevor sie in S3 gespeichert werden. Die anderen Optionen sind ungeeignet: SSH-Zugriffsschlüssel sind für den sicheren Zugriff auf Server gedacht, nicht für die Verschlüsselung von Objekten in S3 oder die Verwaltung von Verschlüsselungsschlüsseln. API-Schlüssel von Amazon API Gateway dienen der Authentifizierung von API-Aufrufen und haben keine Funktion bei der Verschlüsselung von Daten in S3. Eine IAM-Rolle mit der Berechtigung GenerateDataKey allein verschlüsselt die Datei nicht direkt; sie erlaubt lediglich die Generierung eines Datenschlüssels, der dann von einem anderen Dienst oder Tool zur Verschlüsselung verwendet werden müsste. Die KMS-Lösung ist umfassender und direkter für die Anforderung.