Una función Lambda genera un archivo JSON de 3 MB que contiene datos confidenciales y lo sube diariamente a S3. El desarrollador debe asegurarse de que el archivo esté cifrado antes de subirlo. ¿Qué cambio debería implementar el desarrollador para que los datos se cifren antes de la subida?

La opción correcta es llamar a la API GenerateDataKey y usar la clave de datos devuelta para cifrar el archivo dentro del código Lambda antes de subirlo. Esto asegura el cifrado del lado del cliente, donde los datos se cifran antes de salir de la función Lambda, lo que proporciona la máxima protección para datos confidenciales. Las otras opciones son incorrectas porque: Usar la clave AWS KMS predeterminada para Amazon S3 o una clave gestionada por el cliente de AWS KMS para S3 desde el código de la función Lambda solo cifraría los datos en reposo en S3 (cifrado del lado del servidor), no antes de la subida. Usar la clave gestionada de S3 y llamar a la API GenerateDataKey es redundante y no garantiza el cifrado del lado del cliente antes de la subida, ya que la clave gestionada de S3 es para cifrado del lado del servidor.