Een bedrijf slaat loggegevens van meerdere accounts op in gecentraliseerde Amazon S3-buckets. Een solutions architect moet ervoor zorgen dat de gegevens at rest worden versleuteld voordat ze naar S3 worden geüpload en dat ze in transit worden versleuteld. Welke oplossing voldoet aan deze vereisten?

Client-side encryptie versleutelt de gegevens voordat ze de S3-buckets bereiken, wat voldoet aan de vereiste voor encryptie at rest vóór upload. Wanneer deze versleutelde gegevens vervolgens worden geüpload, wordt de communicatie via HTTPS (TLS) versleuteld, wat zorgt voor encryptie in transit. Server-side encryptie (SSE-S3, SSE-KMS, SSE-C) versleutelt de gegevens pas nadat ze de S3-service hebben bereikt, wat niet voldoet aan de eis dat de gegevens voor upload al at rest versleuteld moeten zijn. Bucket policies en het inschakelen van standaard KMS-sleutels configureren server-side encryptie, wat de gegevens pas versleutelt nadat ze in S3 zijn ontvangen.