Een bedrijf slaat gevoelige data op in Amazon S3. Een solutions architect moet een encryptieoplossing creëren die het bedrijf volledige controle geeft over het aanmaken, roteren en uitschakelen van encryptiesleutels, met minimale inspanning voor alle data die versleuteld moet worden. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het aanmaken van een door de klant beheerde sleutel (CMK) in AWS KMS en deze te gebruiken voor SSE-KMS. Dit geeft het bedrijf volledige controle over het aanmaken, roteren en uitschakelen van de encryptiesleutel, wat essentieel is voor gevoelige data. SSE-KMS versleutelt objecten automatisch bij uploaden en ontsleutelt ze bij downloaden, wat minimale inspanning vereist. SSE-S3 (door Amazon S3 beheerde sleutels) biedt geen volledige controle over de sleutels. Een door AWS beheerde sleutel in KMS geeft ook niet de volledige controle die de vraag vereist, omdat AWS de sleutel beheert. Het downloaden, handmatig versleutelen en opnieuw uploaden van objecten is inefficiënt en schaalt niet, wat in strijd is met de eis van minimale inspanning.