Verdant Bioinformatics verschlüsselt große Forschungsdateien, die von ihren ETL-Jobs erzeugt werden, und stößt an die AWS KMS-Anforderungsdrosselung und steigende Kosten. Sie möchten ein Envelope-Encryption-Muster einführen, um die KMS-API-Nutzung zu reduzieren und gleichzeitig eine starke Sicherheit aufrechtzuerhalten. Welche zwei Maßnahmen sollten sie implementieren? (Wählen Sie zwei.)

Die Auswahl von "Rufen Sie KMS GenerateDataKey auf, um einen Klartext-Datenschlüssel und eine verschlüsselte Kopie (CiphertextBlob) zu erhalten; verwenden Sie den Klartext-Datenschlüssel, um Dateien lokal zu verschlüsseln" ist korrekt, da dies der erste Schritt der Envelope-Verschlüsselung ist. Ein Datenschlüssel wird von KMS generiert, um die Daten lokal zu verschlüsseln, wodurch die direkte Verschlüsselung großer Dateien durch KMS vermieden wird. Die Auswahl von "Verwenden Sie KMS Decrypt für den gespeicherten verschlüsselten Datenschlüssel während des Lesens, um den Klartext-Datenschlüssel zu erhalten, und entschlüsseln Sie dann die Datei lokal" ist korrekt, da dies der Entschlüsselungsprozess der Envelope-Verschlüsselung ist. Der verschlüsselte Datenschlüssel wird von KMS entschlüsselt, um die Daten lokal zu entschlüsseln. Die Option, den Klartext-Datenschlüssel zusammen mit dem Chiffretext zu speichern, ist unsicher und würde die Sicherheit untergraben. Die Verwendung eines asymmetrischen KMS RSA-Schlüssels oder das Aufrufen von KMS Encrypt mit dem gesamten Dateiinhalt würde die KMS-API-Nutzung nicht reduzieren und wäre teuer.