Una empresa planea migrar datos a un bucket de Amazon S3. Los datos deben cifrarse en reposo en S3 y la clave de cifrado debe rotarse automáticamente cada año. ¿Qué solución cumple estos requisitos con la MENOR sobrecarga operativa?

La opción correcta es crear una clave administrada por el cliente de AWS KMS, habilitar la rotación automática de claves y configurar el cifrado predeterminado del bucket de S3 para usar esta clave. Esto cumple con los requisitos de cifrado en reposo y rotación automática de claves con la menor sobrecarga operativa, ya que AWS KMS gestiona la rotación. La opción de SSE-S3 no permite la rotación automática anual de claves, ya que las claves de SSE-S3 son rotadas por AWS en un horario irregular y no anual. La opción de rotar manualmente la clave KMS introduce sobrecarga operativa, lo cual el requisito busca minimizar. La opción de usar material de clave de cliente y luego importarlo a KMS es más compleja y no es la solución más sencilla para este caso, además de que la rotación automática en KMS solo rota la clave KMS, no el material de clave importado.