Ein Unternehmen stellt eine Anwendung auf Amazon EC2-Instances bereit, die auf Amazon Elastic Block Store (Amazon EBS)-Volumes schreibt. Das Unternehmen muss sicherstellen, dass alle auf die EBS-Volumes geschriebenen Daten im Ruhezustand verschlüsselt sind. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung besteht darin, die EBS-Volumes direkt als verschlüsselte Volumes zu erstellen, bevor sie an die EC2-Instances angehängt werden. EBS-Verschlüsselung wird auf Volume-Ebene konfiguriert und stellt sicher, dass alle Daten im Ruhezustand automatisch verschlüsselt werden. Eine IAM-Rolle kann Berechtigungen für den Zugriff auf KMS-Schlüssel erteilen, aber sie erzwingt nicht die Verschlüsselung von EBS-Volumes selbst. Ein EC2-Instance-Tag ist eine Metadaten-Markierung und hat keine Funktion, um die EBS-Verschlüsselung zu aktivieren oder zu erzwingen. Eine AWS KMS-Schlüsselrichtlinie definiert, wer einen Schlüssel verwenden darf, erzwingt aber nicht, dass EBS-Volumes mit diesem Schlüssel verschlüsselt werden müssen; dies muss explizit bei der Volume-Erstellung oder -Kopie angegeben werden.