Eine Anwendung speichert Objekte in Amazon S3. Der Entwickler muss die In-Transit-Verschlüsselung für den S3-Zugriff erzwingen, und alle Objekte, die personenbezogene Daten enthalten, müssen mit AWS KMS kundenverwalteten Schlüsseln, die bei Bedarf rotiert werden können, im Ruhezustand verschlüsselt werden. Welche Kombination von Maßnahmen erfüllt diese Anforderungen? (Wählen Sie zwei.)

Um die In-Transit-Verschlüsselung zu erzwingen, ist eine S3-Bucket-Richtlinie mit der Bedingung aws:SecureTransport erforderlich. Diese Richtlinie stellt sicher, dass alle Anfragen an den Bucket über HTTPS erfolgen. Für die Verschlüsselung ruhender Daten mit einem kundenverwalteten AWS KMS-Schlüssel, der bei Bedarf rotiert werden kann, muss die Anwendung die Objekte clientseitig verschlüsseln, bevor sie in S3 hochgeladen werden. Dies stellt sicher, dass die Daten bereits verschlüsselt sind, bevor sie S3 erreichen, und gibt dem Kunden die volle Kontrolle über den KMS-Schlüssel und dessen Rotation. Die Option, eine S3-Bucket-Richtlinie zu schreiben, die clientseitige Verschlüsselung erzwingt, ist nicht direkt umsetzbar, da S3 keine clientseitige Verschlüsselung erzwingen kann. Die Verwendung einer Berechtigungsgrenze ist für die Durchsetzung von HTTPS nicht relevant. S3 Block Public Access erzwingt keine HTTPS-Verbindungen, sondern verhindert den öffentlichen Zugriff auf den Bucket.