Una aplicación almacena PII en un bucket de S3 cifrado con claves KMS administradas por el cliente. Todos los recursos se implementan a través de CloudFormation. Se debe crear un entorno de desarrollo en una cuenta de AWS diferente a partir de la plantilla, y los datos de S3 de producción deben copiarse semanalmente al bucket de S3 de desarrollo, pero la PII debe anonimizarse antes de salir de producción. Cada entorno debe usar claves KMS distintas. ¿Qué combinación de pasos debe seguir el ingeniero? (Elija dos).

La primera opción correcta describe el proceso de anonimización y copia. Habilitar Amazon Macie en el bucket de producción es crucial para identificar la PII. Una máquina de estados de Step Functions puede orquestar el descubrimiento y la redacción de la PII (por ejemplo, usando AWS Glue o funciones Lambda) antes de que los datos se copien al bucket de desarrollo. Es fundamental que la máquina de estados tenga permisos para descifrar con la clave KMS de producción y cifrar con la clave KMS de desarrollo, ya que cada entorno usa claves distintas. La segunda opción correcta aborda la creación del entorno y la automatización. Reutilizar la plantilla de CloudFormation para crear el entorno de desarrollo garantiza consistencia. Programar una regla de EventBridge para iniciar la máquina de estados de Step Functions semanalmente automatiza la transferencia de datos anonimizados, cumpliendo con el requisito de copia semanal. La opción incorrecta de replicación de S3 no permite la anonimización antes de la copia, lo cual es un requisito clave. La opción de S3 Batch Operations y Lambda en la cuenta de desarrollo anonimiza después de la copia, exponiendo la PII en el entorno de desarrollo antes de la redacción, lo cual no es seguro. La opción de cron en EC2 es menos nativa de la nube y más compleja de gestionar que EventBridge para la programación.