Een bedrijf slaat veelgebruikte objecten op in een Amazon S3-bucket en hanteert strikte encryptievereisten. Het bedrijf gebruikt AWS Key Management Service (AWS KMS) voor encryptie, maar wil de kosten die gepaard gaan met S3-objectencryptie verlagen zonder extra AWS KMS-aanroepen te doen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het gebruik van een S3 Bucket Key voor server-side encryptie met AWS KMS keys (SSE-KMS) op de nieuwe objecten. Een S3 Bucket Key vermindert de kosten van AWS KMS-verzoeken door het aantal verzoeken aan KMS te verminderen. In plaats van een unieke KMS-sleutel voor elk object te gebruiken, genereert S3 een tijdelijke bucketsleutel die wordt afgeleid van de KMS-sleutel en vervolgens lokaal wordt gebruikt voor encryptie en decryptie van meerdere objecten binnen die bucket, waardoor minder KMS API-aanroepen nodig zijn. SSE-S3 gebruikt door AWS beheerde sleutels en voldoet niet aan de eis van het gebruik van AWS KMS. Client-side encryptie met door AWS KMS beheerde klantensleutels verhoogt juist het aantal KMS-aanroepen. SSE-C gebruikt door de klant geleverde sleutels, wat niet overeenkomt met het gebruik van AWS KMS voor encryptie.