Una empresa necesita almacenar documentos de contrato. Un contrato tiene una duración de 5 años. Durante este período de 5 años, la empresa debe asegurarse de que los documentos no puedan ser sobrescritos ni eliminados. La empresa necesita cifrar los documentos en reposo y rotar las claves de cifrado automáticamente cada año. ¿Qué combinación de pasos debería seguir un arquitecto de soluciones para cumplir con estos requisitos con la MENOR sobrecarga operativa? (Elija dos.)

Para asegurar que los documentos no puedan ser sobrescritos ni eliminados durante 5 años, S3 Object Lock en modo de cumplimiento (Compliance mode) es la opción correcta. Este modo impide que cualquier usuario, incluso la cuenta raíz, elimine o modifique un objeto hasta que expire el período de retención, cumpliendo con el requisito de inmutabilidad. El modo de gobernanza (Governance mode) permite a los usuarios con permisos especiales anular el bloqueo, lo cual no cumple con la estricta inmutabilidad requerida. Para el cifrado en reposo con rotación automática de claves anual, el cifrado del lado del servidor con claves administradas por el cliente de AWS KMS (SSE-KMS) es la solución adecuada. AWS KMS gestiona la rotación automática de claves cada año por defecto para las claves administradas por el cliente, lo que simplifica la administración. SSE-S3 no ofrece rotación automática de claves anual. Las claves proporcionadas por el cliente (SSE-C) requieren que el cliente gestione las claves y su rotación, aumentando la sobrecarga operativa.