Eine Anwendung speichert Objekte in einem Amazon S3-Bucket mithilfe der PutObject-API. Die Objekte müssen im Ruhezustand mithilfe der serverseitigen Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) verschlüsselt werden. Welcher Ansatz erfüllt diese Anforderung?

Der Header x-amz-server-side-encryption mit dem Wert AES256 weist Amazon S3 an, das Objekt mit SSE-S3 zu verschlüsseln. Dies ist der direkte und korrekte Weg, um serverseitige Verschlüsselung mit von S3 verwalteten Schlüsseln zu aktivieren. Das Erstellen eines AWS KMS-Schlüssels und dessen Zuweisung zum Bucket ist für SSE-KMS (Server-Side Encryption with KMS keys) erforderlich, nicht für SSE-S3. Das Senden des Verschlüsselungsschlüssels in der HTTP-Kopfzeile ist für SSE-C (Server-Side Encryption with Customer-Provided Keys) vorgesehen, bei dem der Kunde den Schlüssel selbst verwaltet und bereitstellt. Die Verwendung von TLS verschlüsselt den Datenverkehr während der Übertragung, nicht die Objekte im Ruhezustand in S3.