Une entreprise exécute une tâche cron sur une instance Amazon EC2 selon un calendrier. La tâche cron invoque un script bash qui chiffre un fichier de 2 Ko. Une clé AWS Key Management Service (AWS KMS) gérée par le client et une politique sont configurées, et le rôle de l'instance EC2 dispose des autorisations requises. Quel processus le script bash doit-il utiliser pour chiffrer le fichier ?

Pour chiffrer un petit fichier (2 Ko) directement avec une clé KMS gérée par le client, la commande aws kms encrypt est la méthode la plus simple et la plus directe. Elle prend le texte en clair en entrée et retourne le texte chiffré. L'option d'utiliser aws kms create-grant est incorrecte car les autorisations sont déjà configurées pour le rôle de l'instance EC2, et cette commande ne chiffre pas de données. L'option d'utiliser aws kms encrypt pour générer une clé de données est incorrecte car aws kms encrypt chiffre des données, elle ne génère pas de clés de données. L'option d'utiliser aws kms generate-data-key pour générer une clé de données, puis de chiffrer le fichier avec la clé de données chiffrée (ciphertext) est incorrecte. Une clé de données chiffrée ne peut pas être utilisée pour chiffrer des données ; seule la clé de données en texte clair peut être utilisée à cette fin. De plus, pour un fichier de 2 Ko, l'utilisation directe de aws kms encrypt est plus simple que l'enveloppe de chiffrement avec des clés de données.