Una empresa ejecuta un trabajo cron en una instancia de Amazon EC2 según un cronograma. El trabajo cron invoca un script bash que cifra un archivo de 2 KB. Se configuran una clave y una política de AWS Key Management Service (AWS KMS) administradas por el cliente, y el rol de la instancia EC2 tiene los permisos necesarios. ¿Qué proceso debe usar el script bash para cifrar el archivo?

Para un archivo pequeño como 2 KB, el comando aws kms encrypt es la forma más sencilla y directa de cifrarlo utilizando una clave KMS existente. Este comando envía el archivo directamente a KMS para su cifrado. Las otras opciones son incorrectas porque: aws kms create-grant se usa para otorgar permisos temporales a una clave KMS, no para cifrar datos. Generar una clave de datos y usar la clave de datos de texto sin formato para cifrar el archivo no es seguro, ya que la clave de texto sin formato podría exponerse. Usar la clave de datos cifrada (ciphertext) para cifrar el archivo es incorrecto; la clave de datos cifrada debe descifrarse primero para obtener la clave de texto sin formato, que luego se usa para cifrar los datos. Esto es un proceso de cifrado de sobres, que es más adecuado para archivos grandes.