Una empresa sube regularmente datos confidenciales a Amazon S3 para su análisis. La política de seguridad exige que los objetos estén cifrados en reposo, que la clave de cifrado se rote automáticamente cada año, que la rotación de claves se pueda rastrear en AWS CloudTrail y que los costos de las claves se minimicen. ¿Qué solución cumple estos requisitos?

SSE-KMS cumple con todos los requisitos. Proporciona cifrado en reposo, la rotación automática de claves cada año es una característica predeterminada de las claves de KMS administradas por AWS (CMK administradas por AWS), las acciones de KMS se registran en CloudTrail, y el costo de usar CMK administradas por AWS es el más bajo entre las opciones de KMS. SSE-C requiere que el cliente administre las claves, lo que no cumple con la rotación automática ni minimiza los costos. SSE-S3 no ofrece rotación automática de claves ni visibilidad en CloudTrail para la rotación. Las claves de AWS KMS administradas por el cliente (CMK creadas por el cliente) son más caras que las CMK administradas por AWS y requieren configuración manual para la rotación.