Een bedrijf draait een online transactieverwerkings (OLTP) workload op AWS met behulp van een ongecodeerde Amazon RDS DB-instantie in een Multi-AZ-implementatie. Er worden dagelijks DB-snapshots gemaakt. Wat moet een solutions architect doen om ervoor te zorgen dat de database en snapshots in de toekomst altijd versleuteld zijn?

De correcte aanpak is om een versleutelde kopie van de meest recente DB-snapshot te maken en vervolgens de bestaande, onversleutelde DB-instantie te vervangen door deze versleutelde snapshot te herstellen. Wanneer een snapshot wordt hersteld naar een nieuwe DB-instantie, neemt de nieuwe instantie de versleutelingsstatus van de snapshot over. Door een versleutelde snapshot te herstellen, wordt de nieuwe DB-instantie automatisch versleuteld. Toekomstige snapshots van deze versleutelde instantie zullen ook versleuteld zijn. Optie 2 is onjuist omdat Amazon RDS gebruikmaakt van EBS-volumes, maar je kunt niet handmatig EBS-volumes koppelen aan een RDS-instantie of de versleuteling ervan direct beheren op deze manier. Optie 3 is onjuist omdat je een bestaande DB-instantie niet direct kunt versleutelen nadat deze is aangemaakt; versleuteling moet bij de creatie of via een versleutelde snapshot-restore worden ingesteld. Optie 4 is onjuist omdat het kopiëren van snapshots naar S3 met SSE-KMS de snapshots in S3 versleutelt, maar dit heeft geen invloed op de versleutelingsstatus van de RDS DB-instantie zelf of de snapshots die door RDS worden beheerd.