Een applicatie die draait op EC2-instances slaat gegevens op in een S3-bucket. Alle gegevens moeten onderweg (in transit) worden versleuteld. Hoe kan een ontwikkelaar ervoor zorgen dat al het verkeer naar de S3-bucket wordt versleuteld?

De juiste optie is het maken van een S3-bucketbeleid dat verzoeken weigert wanneer de aws:SecureTransport condition key onwaar is. Dit beleid dwingt af dat alle communicatie met de S3-bucket via HTTPS (TLS) moet plaatsvinden, wat zorgt voor versleuteling van gegevens onderweg. Het installeren van TLS-certificaten op EC2-instances is niet voldoende, omdat dit alleen de versleuteling van de EC2-instance zelf regelt en niet afdwingt dat communicatie met S3 versleuteld is. Een private VPC endpoint voor S3 verbetert de netwerkbeveiliging door verkeer binnen het AWS-netwerk te houden, maar garandeert op zichzelf geen versleuteling onderweg; HTTPS moet nog steeds worden gebruikt. Het inschakelen van server-side encryptie met AWS KMS (SSE-KMS) versleutelt gegevens in rust (at rest) in de S3-bucket, niet onderweg (in transit).