Una nueva carga de trabajo utiliza una base de datos Amazon RDS for MySQL Multi-AZ. La empresa requiere que todos los datos en reposo estén cifrados y que las claves se roten anualmente. ¿Qué configuración satisface estos requisitos?

La opción correcta cumple con ambos requisitos: cifrado de datos en reposo y rotación anual de claves. Al crear una clave de AWS KMS administrada por el cliente (CMK) y habilitar la rotación automática, AWS KMS gestiona la rotación de la clave de cifrado subyacente cada año. Luego, al habilitar el cifrado de RDS durante la creación de la base de datos y especificar esta CMK, todos los datos en reposo de la instancia RDS (incluyendo copias de seguridad y réplicas) se cifrarán con la clave que rota automáticamente. Las otras opciones son incorrectas porque: Habilitar TDE en MySQL no es una opción nativa para Amazon RDS for MySQL y no gestiona la rotación de claves de forma automática. Usar una clave administrada por AWS para Amazon RDS no permite la rotación anual automática de la clave de cifrado subyacente, ya que estas claves son gestionadas por AWS y no por el cliente. Cifrar solo los volúmenes de EBS no garantiza que las copias de seguridad o réplicas de RDS estén cifradas con la misma clave rotada, y el cifrado de RDS es el método preferido para bases de datos RDS.