Eine Anwendung speichert sensible Dateien in Amazon S3 und muss Daten im Ruhezustand verschlüsseln. Die Unternehmensrichtlinie erfordert einen Audit-Trail, der anzeigt, wann der AWS KMS-Schlüssel verwendet wurde und welcher Principal ihn verwendet hat. Welche serverseitige Verschlüsselungsoption erfüllt diese Anforderung?

SSE-KMS (Server-Side Encryption with AWS KMS managed keys) ist die korrekte Option, da sie die Speicherung sensibler Daten in S3 mit einem Audit-Trail kombiniert. Wenn Sie SSE-KMS verwenden, wird jeder Zugriff auf den KMS-Schlüssel, einschließlich der Entschlüsselung von S3-Objekten, in AWS CloudTrail protokolliert. Dies ermöglicht es Ihnen, nachzuvollziehen, welcher Principal wann den Schlüssel verwendet hat. SSE-S3 (Server-Side Encryption with Amazon S3 managed keys) verschlüsselt Daten, bietet aber keinen Audit-Trail für die Schlüsselnutzung, da S3 die Schlüssel vollständig verwaltet. SSE-C (Server-Side Encryption with customer-provided keys) erfordert, dass der Kunde die Schlüssel verwaltet und bereitstellt, was ebenfalls keinen integrierten Audit-Trail über AWS KMS bietet. Die Option "Serverseitige Verschlüsselung mit vom Kunden verwalteten Schlüsseln außerhalb von KMS" ist zu allgemein und würde ebenfalls keinen KMS-basierten Audit-Trail liefern.