Un'azienda utilizza AWS Organizations per gestire diversi account ed elabora un grande volume di dati sensibili. I dati sono archiviati in Amazon S3 e Amazon DynamoDB e sono accessibili da funzioni AWS Lambda e servizi containerizzati su Amazon EKS su AWS Fargate. L'azienda deve crittografare tutti i dati a riposo e applicare il principio del privilegio minimo per l'accesso ai dati. L'azienda ha creato una chiave AWS KMS gestita dal cliente. Cosa dovrebbe fare l'azienda per soddisfare questi requisiti?

La risposta corretta soddisfa entrambi i requisiti: la crittografia a riposo e il privilegio minimo. La key policy di KMS limita l'azione kms:Decrypt ai servizi specifici (S3, DynamoDB, Lambda, EKS) che devono accedere ai dati crittografati, garantendo il principio del privilegio minimo. L'SCP (Service Control Policy) a livello di organizzazione impedisce la creazione di risorse S3 e DynamoDB non crittografate, forzando la crittografia per tutti i nuovi dati a riposo. Le opzioni errate non soddisfano tutti i requisiti. La prima opzione limita kms:Decrypt solo a S3 e DynamoDB, ma Lambda ed EKS necessitano anch'essi di questa autorizzazione per accedere ai dati. La seconda opzione nega kms:Decrypt e non è una soluzione praticabile per consentire l'accesso ai dati crittografati. La quarta opzione utilizza AWS Config per avvisare, ma non impedisce attivamente la creazione di risorse non crittografate, il che è meno restrittivo di un SCP.