Una aplicación que se ejecuta en instancias EC2 almacena datos en un bucket de S3. Todos los datos deben cifrarse en tránsito. ¿Cómo puede un desarrollador asegurarse de que todo el tráfico al bucket de S3 esté cifrado?

La opción correcta es crear una política de bucket de S3 que deniegue las solicitudes cuando la clave de condición aws:SecureTransport sea falsa. Esta política garantiza que todas las solicitudes al bucket de S3 solo se permitan si se realizan a través de una conexión cifrada (HTTPS/TLS). Si una solicitud no utiliza una conexión segura, la política la denegará, forzando así el cifrado en tránsito. Instalar certificados TLS en las instancias EC2 es para que las instancias puedan servir contenido de forma segura, no para forzar el cifrado de las conexiones salientes a S3. Crear un VPC endpoint privado para S3 mejora la seguridad y el rendimiento al mantener el tráfico dentro de la red de AWS, pero no obliga al cifrado en tránsito si el cliente no lo usa. Habilitar el cifrado del lado del servidor (SSE-KMS) en el bucket de S3 cifra los datos en reposo, no en tránsito.