セキュリティ要件を満たすために、CloudWatch Logs のロググループ（2か月前に作成）は、今後ログデータを顧客管理のAWS KMSキーで暗号化する必要があります。最小限の労力でこのニーズを満たすオプションはどれですか？

正解は、aws logs associate-kms-key コマンドを使用して、既存のロググループをKMSキーに関連付けることです。このコマンドは、既存のロググループにKMS暗号化を適用する最も簡単な方法です。 他の選択肢が不正解である理由は以下の通りです。 AWS Encryption SDKを使用する方法は、ロググループに書き込む前にデータを手動で暗号化する必要があり、最小限の労力という要件に反します。CloudWatch LogsはKMSとの統合をネイティブにサポートしています。 AWS KMSコンソールを使用してKMSキーをロググループに直接アタッチする機能は存在しません。KMSキーは、リソースポリシーまたはサービス統合を通じて関連付けられます。 aws logs create-log-group コマンドは新しいロググループを作成する際にKMSキーを指定するものですが、問題は「2か月前に作成された」既存のロググループに関するものです。