Un développeur doit stocker les commandes clients dans DynamoDB et l'entreprise exige que toutes les données au repos soient chiffrées à l'aide d'une clé générée et gérée par l'entreprise. Que doit faire le développeur pour satisfaire cette exigence ?

La bonne approche consiste à stocker la clé de l'entreprise dans AWS KMS en tant que clé gérée par le client (CMK). Lors de la création de la table DynamoDB, vous pouvez spécifier cette CMK personnalisée. DynamoDB utilisera alors cette clé pour chiffrer les données au repos, répondant ainsi à l'exigence de l'entreprise d'utiliser une clé générée et gérée par elle. Les autres options sont incorrectes car : Chiffrer les données au niveau de l'application (première option) est possible mais transfère la charge de la gestion du chiffrement à l'application, ce qui est moins efficace et sécurisé que de laisser DynamoDB gérer le chiffrement avec KMS. Utiliser le chiffrement par défaut de DynamoDB (troisième option) utilise des clés gérées par AWS, ce qui ne répond pas à l'exigence d'une clé gérée par l'entreprise. L'inclusion de kms:Encrypt dans le SDK ne change pas la clé de chiffrement au repos de la table. Choisir une clé KMS gérée par AWS (quatrième option) ne satisfait pas l'exigence d'une clé générée et gérée par l'entreprise.