한 회사에서 분석을 위해 기밀 데이터를 Amazon S3에 정기적으로 업로드합니다. 보안 정책에 따라 객체는 저장 시 암호화되어야 하며, 암호화 키는 매년 자동으로 교체되어야 하고, 키 교체는 AWS CloudTrail에서 추적 가능해야 하며, 키 비용은 최소화되어야 합니다. 다음 중 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

AWS KMS 키(SSE-KMS)를 사용한 서버 측 암호화는 모든 요구 사항을 충족합니다. SSE-KMS는 저장 시 객체를 암호화하고, KMS 키는 AWS에서 자동으로 연간 교체되며(자동 키 교체 활성화 시), 모든 KMS API 호출은 CloudTrail에 기록되어 추적 가능합니다. 또한, KMS 키는 SSE-C나 고객 관리형 KMS 키에 비해 관리 오버헤드가 적어 비용 효율적입니다. 고객 제공 키(SSE-C)는 키 교체를 수동으로 관리해야 하므로 자동 교체 요구 사항을 충족하지 못합니다. Amazon S3 관리형 키(SSE-S3)는 키를 자동으로 교체하지만, 키 교체가 CloudTrail에 기록되지 않아 추적 가능성 요구 사항을 충족하지 못합니다. 고객 관리형 AWS KMS 키는 자동 키 교체가 불가능하며, 수동으로 키를 교체해야 합니다.