Un'azienda archivia oggetti a cui si accede frequentemente in un bucket S3 e applica rigorosi requisiti di crittografia. L'azienda utilizza AWS Key Management Service (AWS KMS) per la crittografia, ma desidera ridurre i costi associati alla crittografia degli oggetti S3 senza effettuare chiamate AWS KMS aggiuntive. Quale soluzione soddisfa questi requisiti?

L'opzione corretta è utilizzare una S3 Bucket Key per la crittografia lato server con chiavi AWS KMS (SSE-KMS) sui nuovi oggetti. Questa soluzione riduce i costi di AWS KMS perché S3 Bucket Key riduce il numero di richieste a KMS per la crittografia e decrittografia degli oggetti, aggregando le chiamate API di KMS. Invece di richiedere una chiave KMS per ogni oggetto, S3 utilizza una chiave di bucket per derivare chiavi univoche per gli oggetti, riducendo le chiamate dirette a KMS. Le altre opzioni sono meno adatte: SSE-S3 non utilizza KMS, quindi non soddisfa il requisito di usare KMS. La crittografia lato client con chiavi gestite dal cliente AWS KMS implica che il cliente gestisca la crittografia prima dell'upload, il che non riduce i costi delle chiamate KMS per S3 e aggiunge complessità. SSE-C non utilizza KMS e richiede la gestione delle chiavi da parte del cliente, non soddisfacendo il requisito di usare KMS.