Une application stocke des fichiers sensibles dans Amazon S3 et doit chiffrer les données au repos. La politique de l'entreprise exige une piste d'audit qui indique quand la clé AWS KMS a été utilisée et quel principal l'a utilisée. Quelle option de chiffrement côté serveur satisfait à cette exigence ?

SSE-KMS est la bonne réponse car il utilise AWS Key Management Service (KMS) pour gérer les clés de chiffrement. KMS fournit une piste d'audit via AWS CloudTrail, enregistrant chaque utilisation de la clé, y compris le principal qui l'a utilisée, répondant ainsi à l'exigence de la politique de l'entreprise. SSE-S3 utilise des clés gérées par Amazon S3. Bien qu'il chiffre les données au repos, il n'offre pas la même granularité d'audit que KMS pour l'utilisation des clés. SSE-C utilise des clés fournies par le client. AWS ne stocke pas ces clés et n'a donc aucune visibilité sur leur utilisation pour l'audit. Le chiffrement avec des clés gérées par le client en dehors de KMS ne permet pas à AWS de fournir une piste d'audit pour l'utilisation des clés, car les clés sont gérées en dehors de l'environnement AWS.