Un'applicazione archivia file sensibili in Amazon S3 e deve crittografare i dati a riposo. La policy aziendale richiede una traccia di audit che mostri quando è stata utilizzata la chiave AWS KMS e quale principal l'ha utilizzata. Quale opzione di crittografia lato server soddisfa questo requisito?

SSE-KMS è la scelta corretta perché utilizza AWS Key Management Service (KMS) per gestire le chiavi di crittografia. Quando si utilizza SSE-KMS, ogni richiesta di accesso a un oggetto S3 crittografato con KMS viene registrata in AWS CloudTrail. Questi log di CloudTrail includono dettagli sull'operazione API di KMS, come l'ID della chiave utilizzata e l'identità del principal che ha richiesto l'operazione. Questo soddisfa il requisito di audit aziendale di tracciare l'uso della chiave e il principal. SSE-S3 utilizza chiavi gestite da Amazon S3 e non fornisce una traccia di audit dell'uso della chiave KMS in CloudTrail, poiché KMS non è direttamente coinvolto nell'accesso agli oggetti dopo la crittografia iniziale. SSE-C richiede al cliente di fornire e gestire le proprie chiavi, senza integrazione con KMS per l'audit. L'opzione di chiavi gestite dal cliente al di fuori di KMS non è un meccanismo di crittografia lato server S3 standard e non offre la tracciabilità richiesta.