Una empresa está creando un sitio web de contenido estático en Amazon S3 con Amazon CloudFront. Los usuarios deben poder cargar y descargar archivos grandes. La política de la empresa exige que todos los datos se cifren tanto en tránsito como en reposo. ¿Qué combinación de acciones satisfará los requisitos de cifrado? (Elija tres.)

Habilitar el cifrado del lado del servidor de S3 (SSE) para el bucket asegura que los datos almacenados en reposo estén cifrados, cumpliendo el requisito de cifrado en reposo. Crear una política de bucket de S3 que deniegue solicitudes no cifradas en tránsito fuerza el uso de HTTPS para todas las interacciones directas con S3, garantizando el cifrado en tránsito. Configurar CloudFront para redirigir HTTP a HTTPS asegura que todas las comunicaciones entre los usuarios y CloudFront, y luego a S3, utilicen TLS/SSL, cifrando los datos en tránsito. Las opciones incorrectas son: Agregar un atributo "aws:SecureTransport": "true" a las ACL de S3 no es una forma válida de forzar TLS; las ACL controlan permisos, no cifrado en tránsito. CloudFront no tiene una opción para habilitar el cifrado en reposo directamente con SSE-KMS; CloudFront almacena en caché y distribuye contenido, pero el cifrado en reposo se gestiona en el origen (S3). Usar la opción RequireSSL al crear URL prefirmadas de S3 es una buena práctica, pero no cubre todas las solicitudes al sitio web a través de CloudFront ni el cifrado en reposo en S3.