Un'applicazione in esecuzione su istanze EC2 archivia i dati in un bucket S3. Tutti i dati devono essere crittografati in transito. Come può uno sviluppatore garantire che tutto il traffico verso il bucket S3 sia crittografato?

La risposta corretta è creare una policy del bucket S3 che neghi le richieste quando la chiave di condizione aws:SecureTransport è falsa. Questa policy impone che tutte le richieste al bucket S3 utilizzino connessioni HTTPS (TLS), garantendo la crittografia dei dati in transito. Se una richiesta non utilizza HTTPS, la condizione aws:SecureTransport sarà falsa e la richiesta verrà negata, forzando così l'uso della crittografia in transito per tutto il traffico. Installare certificati TLS sulle istanze EC2 è irrilevante per la crittografia del traffico verso S3; i certificati sono per il server che ospita l'applicazione, non per le connessioni client-S3. Creare un VPC endpoint privato per S3 migliora la sicurezza e riduce i costi instradando il traffico S3 attraverso la rete AWS, ma non impone la crittografia in transito; è comunque possibile inviare traffico non crittografato tramite un endpoint. Abilitare la crittografia lato server (SSE-KMS) cripta i dati a riposo nel bucket S3, non in transito.