Una empresa almacena datos de entrenamiento como un CSV en S3 y debe cifrarlos controlando qué aplicaciones pueden acceder a la clave de cifrado. ¿Qué solución satisface estos requisitos?

La opción correcta es crear una nueva clave de AWS KMS y usar la AWS Encryption CLI con una referencia a esa clave. AWS KMS permite un control granular sobre quién puede usar las claves para cifrar y descifrar datos, satisfaciendo el requisito de controlar qué aplicaciones acceden a la clave. La AWS Encryption CLI facilita el cifrado de archivos locales o en S3 utilizando claves KMS. Las otras opciones son incorrectas: Las claves de acceso SSH se usan para autenticación en instancias EC2 o CodeCommit, no para cifrado de objetos en S3. Las claves de API de Amazon API Gateway se usan para controlar el acceso a API REST, no para cifrar datos en S3. Crear un rol de IAM y adjuntar una política GenerateDataKey solo define permisos, pero no especifica cómo se usaría ese rol para cifrar el archivo directamente con una clave KMS de manera práctica y controlada para el cifrado de datos en S3.