Un'azienda sta sviluppando una nuova applicazione su AWS. L'applicazione include un cluster Amazon ECS, un bucket Amazon S3 che memorizza le risorse dell'applicazione e un database Amazon RDS for MySQL che contiene un set di dati sensibili. L'azienda vuole garantire che solo il cluster ECS possa accedere al database RDS e al bucket S3. Quale soluzione soddisfa questi requisiti?

La creazione di una chiave KMS gestita dal cliente (CMK) e la configurazione della sua policy per concedere le autorizzazioni di crittografia e decrittografia al ruolo di esecuzione delle attività ECS garantisce che solo il cluster ECS possa accedere ai dati sensibili. Se il cluster ECS non ha accesso alla chiave KMS, non può decrittografare i dati in S3 o RDS, impedendo l'accesso non autorizzato. Le chiavi gestite da AWS (opzione 2) non consentono un controllo granulare delle policy per limitare l'accesso a specifiche entità IAM come il ruolo ECS, rendendole meno sicure per questo caso d'uso. Le opzioni che si basano solo su policy di bucket S3, endpoint VPC e gruppi di sicurezza (opzioni 3 e 4) forniscono un controllo a livello di rete ma non un controllo crittografico sui dati stessi. Un utente o un servizio con le credenziali appropriate potrebbe comunque accedere ai dati se si trova all'interno della rete consentita, anche senza il cluster ECS. La crittografia con una CMK e una policy restrittiva aggiunge un ulteriore livello di sicurezza basato sull'identità.