Een bedrijf implementeert een applicatie op Amazon EC2-instances die naar Amazon Elastic Block Store (Amazon EBS)-volumes schrijft. Het bedrijf moet ervoor zorgen dat alle gegevens die naar de EBS-volumes worden geschreven, at rest zijn versleuteld. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing is het aanmaken van versleutelde EBS-volumes en deze vervolgens te koppelen aan de EC2-instances. EBS-encryptie is een eigenschap van het volume zelf. Wanneer een EBS-volume wordt aangemaakt als versleuteld, worden alle gegevens die erop worden geschreven automatisch versleuteld at rest, en dit geldt ook voor snapshots die van dit volume worden gemaakt. Het aanmaken van een IAM-rol (optie A) specificeert geen EBS-encryptie; IAM-rollen beheren machtigingen. Een EC2-instancetag (optie C) is alleen metadata en dwingt geen encryptie af. Een AWS KMS-sleutelbeleid (optie D) definieert wie toegang heeft tot de sleutel, maar dwingt niet af dat alle EBS-volumes in het account versleuteld moeten zijn; dit moet expliciet per volume worden geconfigureerd of via accountbrede instellingen voor nieuwe volumes.