Une entreprise développe une nouvelle application sur AWS. L'application comprend un cluster Amazon ECS, un compartiment Amazon S3 qui stocke les ressources de l'application et une base de données Amazon RDS for MySQL qui contient un jeu de données sensibles. L'entreprise souhaite s'assurer que seul le cluster ECS peut accéder à la base de données RDS et au compartiment S3. Quelle solution répond à ces exigences ?

La création d'une clé gérée par le client (CMK) AWS KMS et la configuration de sa politique pour accorder des autorisations de chiffrement et de déchiffrement au rôle d'exécution de tâche ECS est la solution correcte. Cela garantit que seul le cluster ECS, via son rôle, peut accéder aux données chiffrées dans S3 et RDS. Les autres options sont incorrectes car : Utiliser une clé gérée par AWS KMS ne permet pas un contrôle d'accès granulaire via la politique de clé, ce qui est essentiel pour restreindre l'accès au seul cluster ECS. Les politiques de compartiment S3 et les groupes de sécurité RDS sont des mécanismes de contrôle d'accès importants, mais ils ne sont pas suffisants à eux seuls pour garantir que seul le cluster ECS peut accéder aux données chiffrées. Ils ne gèrent pas le contrôle d'accès au niveau du chiffrement. Les VPC endpoints améliorent la sécurité en gardant le trafic dans le réseau AWS, mais ils ne fournissent pas le contrôle d'accès basé sur l'identité nécessaire pour restreindre l'accès au cluster ECS uniquement au niveau du chiffrement.