FinServe Analytics ejecuta una instancia de producción de Amazon RDS for PostgreSQL en us-east-1 que se creó sin cifrar. El cumplimiento ahora requiere cifrado en reposo utilizando una clave KMS administrada por el cliente. Quieren minimizar el tiempo de inactividad durante la migración. ¿Qué deben hacer?

La opción correcta minimiza el tiempo de inactividad al aprovechar la funcionalidad de instantáneas de RDS. Al tomar una instantánea de la base de datos sin cifrar, copiarla con cifrado usando una clave KMS administrada por el cliente y luego restaurar una nueva instancia cifrada a partir de esa instantánea, se crea una base de datos cifrada sin afectar la instancia de producción original. El cambio se realiza durante una ventana de mantenimiento planificada, lo que reduce el impacto en los usuarios. Modificar la instancia de base de datos existente para habilitar el cifrado in situ no es posible directamente con RDS para PostgreSQL; el cifrado debe configurarse en el momento de la creación o mediante el proceso de instantánea/restauración. Habilitar el cifrado de EBS por defecto no cifra las bases de datos RDS existentes. Compartir una CMK y habilitar el cifrado en la instancia existente sin instantánea/restauración tampoco es una opción válida para aplicar cifrado a una instancia RDS ya existente.