Un ingeniero de seguridad debe habilitar el cifrado continuo de objetos de Amazon S3 sin requerir que los usuarios administren directamente las claves de cifrado. La solución debe escalar con una gestión continua mínima, y la organización debe poder revocar y eliminar inmediatamente las claves de cifrado. ¿Qué enfoque cumple estos requisitos?

La opción correcta es usar AWS KMS con material de clave importado y llamar a DeleteImportedKeyMaterial. Esto permite un control total sobre la clave, incluyendo su revocación y eliminación inmediata, lo cual es crucial para cumplir con el requisito de eliminar las claves de cifrado de forma instantánea. El cifrado continuo de S3 se puede configurar para usar estas claves KMS. La opción de claves administradas por AWS no permite la eliminación inmediata, ya que ScheduleKeyDeletion tiene un período de espera mínimo. AWS CloudHSM es una opción viable para el almacenamiento de claves, pero el requisito de "gestión continua mínima" se cumple mejor con KMS y material de clave importado, que es más sencillo de gestionar para este caso de uso. Almacenar claves en AWS Systems Manager Parameter Store no proporciona las capacidades de cifrado y gestión de claves que ofrece KMS, y no permite la revocación inmediata de la clave de cifrado de S3.