ある企業が、機密性の高いアプリケーションをAmazon EC2で実行しており、Amazon RDSデータベースによってバックアップされています。コンプライアンスにより、すべての個人を特定できる情報 (PII) を保存時に暗号化することが求められています。ソリューションアーキテクトは、最小限のインフラストラクチャ変更でこの要件を満たすために、どのソリューションを推奨すべきですか？

正解は、Amazon Elastic Block Store (Amazon EBS) 暗号化とAmazon RDS暗号化をAWS Key Management Service (AWS KMS) キーで設定し、インスタンスとデータベースのボリュームを暗号化します。これは、EC2インスタンスの基盤となるEBSボリュームとRDSデータベースの両方の保存データを暗号化するための最も直接的で効果的な方法だからです。KMSはキー管理を簡素化し、コンプライアンス要件を満たします。 AWS Certificate ManagerはSSL/TLS証明書管理用であり、保存データの暗号化には直接関係ありません。AWS CloudHSMはハードウェアセキュリティモジュールを提供しますが、最小限のインフラストラクチャ変更という要件には合致せず、より複雑でコストがかかります。KMSキーを使用したSSL暗号化は転送中のデータを保護しますが、保存中のデータ暗号化にはEBSおよびRDS暗号化が必要です。