Un'azienda archivierà i dati in bucket Amazon S3 in due Regioni AWS e deve utilizzare una chiave gestita dal cliente AWS KMS per crittografare tutti i dati in tali bucket S3. I dati in entrambi i bucket S3 devono essere crittografati e decrittografati con la stessa chiave KMS, e sia i dati che la chiave devono essere archiviati in ciascuna delle due Regioni. Quale soluzione soddisfa questi requisiti con il MINOR overhead operativo?

La soluzione corretta è creare una chiave KMS multi-Regione gestita dal cliente e utilizzare la crittografia lato client. Una chiave KMS multi-Regione permette di usare la stessa chiave in più Regioni, soddisfacendo il requisito di avere la chiave e i dati in entrambe le Regioni e di crittografare/decrittografare con la stessa chiave. La crittografia lato client, sebbene richieda configurazione nell'applicazione, garantisce che i dati siano crittografati prima di lasciare l'applicazione, offrendo il massimo controllo. La replica S3 assicura che i dati siano presenti in entrambe le Regioni. Le altre opzioni non soddisfano tutti i requisiti: SSE-S3 non utilizza una chiave KMS gestita dal cliente. L'opzione che propone SSE-KMS con chiavi KMS gestite dal cliente in ogni Regione non specifica chiavi multi-Regione, il che implicherebbe chiavi diverse per ogni Regione o un overhead maggiore per la gestione della sincronizzazione. L'opzione che propone SSE-KMS con chiavi KMS gestite dal cliente in ogni Regione non specifica chiavi multi-Regione, il che implicherebbe chiavi diverse per ogni Regione o un overhead maggiore per la gestione della sincronizzazione.