Lambda 함수가 민감한 데이터가 포함된 3MB JSON 파일을 생성하여 매일 S3에 업로드합니다. 개발자는 업로드하기 전에 파일이 암호화되었는지 확인해야 합니다. 업로드하기 전에 데이터가 암호화되도록 개발자가 구현해야 하는 변경 사항은 무엇입니까?

정답은 GenerateDataKey API를 호출한 다음, 반환된 데이터 키를 사용하여 업로드하기 전에 Lambda 함수 코드 내에서 파일을 암호화합니다. Lambda 함수가 S3에 파일을 업로드하기 전에 클라이언트 측에서 데이터를 암호화해야 하므로, AWS KMS의 GenerateDataKey API를 사용하여 데이터 암호화 키를 생성하고 이 키로 파일을 암호화해야 합니다. GenerateDataKey는 데이터 암호화에 사용될 일반 텍스트 데이터 키와 KMS로 암호화된 데이터 키를 반환합니다. 일반 텍스트 키로 파일을 암호화한 후에는 이 키를 메모리에서 지우고, 암호화된 데이터 키만 파일과 함께 저장하거나 S3에 업로드할 때 메타데이터로 전달할 수 있습니다. 오답인 'Lambda 함수 코드 내에서 Amazon S3의 기본 AWS KMS 키를 사용합니다'는 S3 서버 측 암호화(SSE-KMS)를 의미하며, 이는 S3가 데이터를 수신한 후에 암호화하므로 클라이언트 측 암호화 요구사항을 충족하지 못합니다. 'S3 관리형 키를 사용하고 GenerateDataKey API를 호출하여 파일을 암호화합니다'는 S3 관리형 키(SSE-S3)를 언급하는데, SSE-S3는 KMS를 사용하지 않으며 S3가 자체 관리하는 키로 서버 측 암호화를 수행합니다. 'Lambda 함수 코드 내에서 S3용 AWS KMS 고객 관리형 키를 사용합니다' 역시 SSE-KMS의 한 형태로, S3가 데이터를 수신한 후에 암호화하므로 클라이언트 측 암호화 요구사항에 부합하지 않습니다.