Une entreprise va stocker des données dans des buckets Amazon S3 dans deux régions AWS et doit utiliser une clé gérée par le client AWS KMS pour chiffrer toutes les données de ces buckets S3. Les données des deux buckets S3 doivent être chiffrées et déchiffrées avec la même clé KMS, et les données et la clé doivent être stockées dans chacune des deux régions. Quelle solution répond à ces exigences avec le MOINS de frais opérationnels ?

La solution correcte implique une clé KMS multi-régions gérée par le client (CMK) et le chiffrement côté client. Une CMK multi-régions permet d'utiliser la même clé dans plusieurs régions AWS, répondant ainsi à l'exigence de la même clé pour le chiffrement et le déchiffrement dans les deux régions. Le chiffrement côté client assure que les données sont chiffrées avant d'être envoyées à S3, et la réplication entre les buckets S3 maintient la disponibilité des données dans les deux régions. Cette approche minimise les frais opérationnels car une seule clé logique est gérée. Les autres options sont incorrectes car : L'utilisation de SSE-S3 ne répond pas à l'exigence d'une clé gérée par le client. L'utilisation de SSE-KMS avec des clés régionales distinctes augmenterait la complexité de la gestion des clés et ne permettrait pas d'utiliser la "même clé" logique dans les deux régions sans une gestion manuelle complexe.