Un ingegnere della sicurezza deve abilitare la crittografia trasparente degli oggetti Amazon S3 senza richiedere agli utenti di gestire direttamente le chiavi di crittografia. La soluzione deve scalare con una gestione continua minima e l'organizzazione deve essere in grado di revocare ed eliminare immediatamente le chiavi di crittografia. Quale approccio soddisfa questi requisiti?

L'utilizzo di AWS KMS con materiale chiave importato (BYOK) consente la crittografia trasparente degli oggetti S3 e la gestione delle chiavi da parte dell'organizzazione. La funzione DeleteImportedKeyMaterial permette di revocare ed eliminare immediatamente il materiale chiave, soddisfacendo il requisito di revoca immediata. Questo approccio scala bene e richiede una gestione minima delle chiavi da parte degli utenti finali. Le chiavi gestite da AWS (AWS-managed keys) non possono essere revocate o eliminate immediatamente dall'utente, rendendo la prima opzione inadatta. AWS CloudHSM offre un controllo elevato, ma è una soluzione più complessa e costosa, non ottimale per la "gestione continua minima" richiesta. L'archiviazione delle chiavi in Systems Manager Parameter Store non fornisce la crittografia trasparente di S3 né le capacità di gestione e revoca sicura offerte da KMS.