Una empresa utiliza AWS Organizations para administrar varias cuentas y procesa un gran volumen de datos confidenciales. Los datos se almacenan en Amazon S3 y Amazon DynamoDB, y son accedidos por funciones de AWS Lambda y servicios en contenedores en Amazon EKS en AWS Fargate. La empresa debe cifrar todos los datos en reposo y aplicar el principio de privilegio mínimo para el acceso a los datos. La empresa ha creado una clave de AWS KMS administrada por el cliente. ¿Qué debe hacer la empresa a continuación para cumplir con estos requisitos?

La opción correcta aborda ambos requisitos: cifrado en reposo y privilegio mínimo. La política de claves de KMS restringe el permiso kms:Decrypt solo a los servicios que necesitan acceder a los datos cifrados (S3, DynamoDB, Lambda, EKS), aplicando el principio de privilegio mínimo. El SCP (Service Control Policy) asegura que todos los nuevos buckets de S3 y tablas de DynamoDB se creen con el cifrado requerido, haciendo cumplir el cifrado en reposo a nivel de organización. La primera opción es incorrecta porque restringe kms:Decrypt solo a S3 y DynamoDB, pero Lambda y EKS también necesitan este permiso para acceder a los datos. La segunda opción es incorrecta porque una política de IAM que deniega kms:Decrypt no es el enfoque correcto para permitir el acceso controlado, y una función Lambda programada no es la forma más efectiva de aplicar políticas de seguridad a gran escala. La cuarta opción es incorrecta porque una regla de AWS Config solo alerta sobre recursos no cifrados, pero no impide su creación, lo que no cumple con el requisito de hacer cumplir el cifrado.