Una empresa almacenará datos en buckets de Amazon S3 en dos regiones de AWS y debe usar una clave administrada por el cliente de AWS KMS para cifrar todos los datos en esos buckets de S3. Los datos en ambos buckets de S3 deben cifrarse y descifrarse con la misma clave KMS, y tanto los datos como la clave deben almacenarse en cada una de las dos regiones. ¿Qué solución cumple estos requisitos con la MENOR sobrecarga operativa?

La opción correcta es crear una clave KMS multiregión administrada por el cliente. Esto permite que la misma clave KMS se replique y esté disponible en ambas regiones, cumpliendo el requisito de que tanto los datos como la clave estén en cada región y se use la misma clave para cifrar y descifrar. El cifrado del lado del cliente (CSE) asegura que los datos se cifren antes de salir de la aplicación, proporcionando un control total sobre el proceso de cifrado. Las otras opciones son incorrectas porque SSE-S3 no usa claves administradas por el cliente, y SSE-KMS con claves de una sola región requeriría claves diferentes o una gestión más compleja para cumplir los requisitos multiregionales.