Un grupo de registros de CloudWatch Logs (creado hace 2 meses) debe tener los datos de registro futuros cifrados con una clave de AWS KMS administrada por el cliente para cumplir con un requisito de seguridad. ¿Qué opción satisface esta necesidad con el menor esfuerzo?

La opción correcta es usar aws logs associate-kms-key porque permite asociar una clave KMS a un grupo de registros existente, lo cual es necesario dado que el grupo de registros ya fue creado. Este comando modifica la configuración del grupo de registros para que los datos futuros se cifren con la clave KMS especificada, cumpliendo el requisito con el menor esfuerzo operativo. Cifrar y descifrar datos antes de escribirlos (opción 1) es una solución manual y compleja que añade sobrecarga de desarrollo y mantenimiento. Usar la consola de AWS KMS para adjuntar la clave (opción 2) es incorrecto; KMS gestiona claves, no asocia directamente claves a grupos de registros de CloudWatch. Ejecutar aws logs create-log-group (opción 3) no es viable porque el grupo de registros ya existe; este comando es para la creación inicial.