Een bedrijf draait een applicatie op AWS die gevoelige archiefbestanden genereert. Het bedrijf wil de gegevensopslag van de applicatie opnieuw inrichten, zodat bestanden worden versleuteld voordat ze naar AWS worden verzonden, om ervoor te zorgen dat geen enkele derde partij toegang heeft tot de gegevens vóór de versleuteling. Het bedrijf heeft al een Amazon S3-bucket aangemaakt. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is om de applicatie client-side encryptie te laten uitvoeren met een sleutel uit AWS KMS. Dit voldoet aan de vereiste dat bestanden worden versleuteld voordat ze naar AWS worden verzonden, wat betekent dat geen enkele derde partij (inclusief AWS) de ongecodeerde gegevens kan zien. De andere opties beschrijven server-side encryptie (SSE-S3, SSE-KMS, of dual-layer SSE-KMS). Bij server-side encryptie worden de gegevens pas versleuteld nadat ze AWS S3 hebben bereikt. Hoewel dit de gegevens in rust beschermt, garandeert het niet dat geen enkele derde partij toegang heeft tot de gegevens vóór de versleuteling, aangezien de gegevens ongecodeerd over het netwerk kunnen worden verzonden en tijdelijk ongecodeerd op AWS-servers kunnen staan voordat ze worden versleuteld. Client-side encryptie is de enige methode die garandeert dat de gegevens al versleuteld zijn voordat ze AWS bereiken.