Una empresa almacena objetos a los que se accede con frecuencia en un bucket de Amazon S3 y aplica estrictos requisitos de cifrado. La empresa utiliza AWS Key Management Service (AWS KMS) para el cifrado, pero quiere reducir los costos asociados con el cifrado de objetos de S3 sin realizar llamadas adicionales a AWS KMS. ¿Qué solución cumple estos requisitos?

La opción correcta es usar una S3 Bucket Key para el cifrado del lado del servidor con claves de AWS KMS (SSE-KMS) en los objetos nuevos. S3 Bucket Keys reducen significativamente los costos de AWS KMS al disminuir el número de solicitudes de KMS. En lugar de que S3 solicite una clave única de KMS para cada objeto, una S3 Bucket Key genera una clave temporal a nivel de bucket que se utiliza para cifrar múltiples objetos durante un período de tiempo. Esto reduce las llamadas a KMS y, por lo tanto, los costos. Las otras opciones son incorrectas: SSE-S3 utiliza claves administradas por AWS, no por KMS, y no cumple con el requisito de usar KMS. El cifrado del lado del cliente requiere que la aplicación cliente gestione el cifrado y las claves, lo cual no reduce las llamadas a KMS de S3. SSE-C utiliza claves proporcionadas por el cliente, no claves de KMS, y no cumple con el requisito de usar KMS. Además, el enunciado menciona que las claves SSE-C se almacenan en KMS, lo cual es una configuración incorrecta para SSE-C.