Une entreprise télécharge régulièrement des données confidentielles vers Amazon S3 pour analyse. La politique de sécurité exige que les objets soient chiffrés au repos, que la clé de chiffrement soit automatiquement renouvelée chaque année, que le renouvellement de la clé soit traçable dans AWS CloudTrail et que les coûts des clés soient minimisés. Quelle solution répond à ces exigences ?

SSE-KMS répond à toutes les exigences. Il chiffre les objets au repos, utilise AWS KMS pour la gestion des clés, ce qui inclut le renouvellement automatique annuel des clés (rotation des clés). Les actions KMS sont enregistrées dans CloudTrail, assurant la traçabilité. Enfin, SSE-KMS est généralement plus rentable que les clés KMS gérées par le client, car il utilise des clés gérées par AWS. SSE-C ne permet pas le renouvellement automatique des clés et ne les gère pas via KMS, ce qui rend la traçabilité difficile. SSE-S3 chiffre les objets mais n'offre pas de rotation automatique des clés ni de traçabilité CloudTrail pour les clés. Les clés AWS KMS gérées par le client offrent une rotation et une traçabilité, mais sont plus coûteuses que les clés KMS gérées par AWS.