Un groupe de logs CloudWatch Logs (créé il y a 2 mois) doit avoir ses futures données de logs chiffrées avec une clé AWS KMS gérée par le client pour répondre à une exigence de sécurité. Quelle option répond à ce besoin avec le moins d'effort ?

La commande aws logs associate-kms-key permet d'associer une clé KMS existante à un groupe de logs CloudWatch Logs, même si le groupe de logs a déjà été créé. C'est la méthode la plus simple et la plus directe pour chiffrer les futures données de logs avec une clé gérée par le client. Chiffrer et déchiffrer les données avant de les écrire avec l'AWS Encryption SDK est une approche complexe qui nécessite des modifications de code et ne chiffre pas directement les données dans CloudWatch Logs. La console AWS KMS ne permet pas d'attacher directement une clé KMS à un groupe de logs. aws logs create-log-group ne fonctionne que lors de la création initiale du groupe de logs, pas pour un groupe existant.