Un ingénieur de sécurité doit activer le chiffrement transparent des objets Amazon S3 sans obliger les utilisateurs à gérer directement les clés de chiffrement. La solution doit s'adapter avec une gestion continue minimale, et l'organisation doit être en mesure de révoquer et de supprimer immédiatement les clés de chiffrement. Quelle approche répond à ces exigences ?

L'utilisation d'AWS KMS avec du matériel de clé importé (BYOK) permet de chiffrer les objets S3 de manière transparente sans que les utilisateurs n'aient à gérer directement les clés. Cette approche offre une évolutivité et une gestion minimale. Surtout, elle répond à l'exigence de révocation et de suppression immédiate des clés en utilisant DeleteImportedKeyMaterial, qui supprime instantanément le matériel de clé, rendant les données chiffrées irrécupérables. Les clés gérées par AWS KMS ne peuvent pas être supprimées immédiatement ; ScheduleKeyDeletion impose une période d'attente minimale de 7 jours, ce qui ne satisfait pas l'exigence de suppression immédiate. AWS CloudHSM est une solution plus complexe et coûteuse, nécessitant une gestion plus active des clés et des HSM. AWS Systems Manager Parameter Store n'est pas conçu pour le chiffrement transparent d'objets S3 et ne fournit pas les mêmes garanties de sécurité ou de gestion des clés que KMS.