Eine CloudWatch Logs-Protokollgruppe (vor 2 Monaten erstellt) muss zukünftige Protokolldaten mit einem kundenverwalteten AWS KMS-Schlüssel verschlüsseln, um eine Sicherheitsanforderung zu erfüllen. Welche Option erfüllt diese Anforderung mit dem geringsten Aufwand?

Die korrekte Antwort ist die Verwendung des AWS CLI-Befehls aws logs associate-kms-key. Dieser Befehl ermöglicht es, einen vorhandenen CloudWatch Logs-Protokollgruppe mit einem kundenverwalteten KMS-Schlüssel zu verknüpfen, um zukünftige Protokolldaten zu verschlüsseln. Dies ist die einfachste und direkteste Methode, um die Anforderung für eine bereits bestehende Protokollgruppe zu erfüllen. Die Verschlüsselung und Entschlüsselung von Daten vor dem Schreiben mit dem AWS Encryption SDK wäre zu aufwendig und würde eine Änderung der Anwendung erfordern. Die AWS KMS-Konsole bietet keine direkte Option, einen KMS-Schlüssel an eine Protokollgruppe anzuhängen. Der Befehl aws logs create-log-group ist nur für die Erstellung neuer Protokollgruppen relevant und kann nicht für eine bereits existierende Protokollgruppe verwendet werden.