Een applicatie slaat objecten op in Amazon S3. De ontwikkelaar moet in-transit encryptie afdwingen voor S3-toegang, en alle objecten die persoonlijke gegevens bevatten, moeten at-rest worden versleuteld met AWS KMS customer-managed keys die on-demand kunnen worden geroteerd. Welke combinatie van acties voldoet aan deze vereisten? (Kies twee.)

De eerste correcte optie is om de applicatie te wijzigen om objecten te versleutelen met een AWS KMS customer-managed key voordat ze worden geüpload. Dit voldoet aan de vereiste voor at-rest encryptie met door de klant beheerde sleutels die on-demand kunnen worden geroteerd, aangezien de applicatie de encryptie uitvoert met de opgegeven KMS-sleutel. De tweede correcte optie is het schrijven van een S3-bucketbeleid dat alleen versleutelde verbindingen via HTTPS toestaat door de aws:SecureTransport-conditie te vereisen. Dit dwingt in-transit encryptie af voor alle S3-toegang. De optie om een S3-bucketbeleid te schrijven met een permissions boundary is onjuist omdat permissions boundaries worden gebruikt om de maximale permissies te definiëren die een IAM-entiteit kan hebben, niet om in-transit encryptie af te dwingen. Client-side encryptie afdwingen via een bucketbeleid is niet mogelijk; encryptie wordt uitgevoerd door de client of S3 zelf. S3 Block Public Access-instellingen zijn bedoeld om openbare toegang te voorkomen en dwingen geen HTTPS-verbindingen af.