Een bedrijf uploadt regelmatig vertrouwelijke gegevens naar Amazon S3 voor analyse. Het beveiligingsbeleid vereist dat objecten at rest worden versleuteld, de versleutelingssleutel jaarlijks automatisch wordt geroteerd, sleutelrotatie traceerbaar moet zijn in AWS CloudTrail en de sleutelkosten geminimaliseerd moeten worden. Welke oplossing voldoet aan deze vereisten?

SSE-KMS (Server-Side Encryption with AWS KMS keys) voldoet aan alle vereisten. Het versleutelt objecten at rest in S3, en AWS KMS (Key Management Service) roteert sleutels automatisch jaarlijks. Alle KMS API-aanroepen, inclusief sleutelrotatie, worden gelogd in CloudTrail voor traceerbaarheid. Bovendien zijn de kosten voor KMS-sleutels over het algemeen lager dan het handmatig beheren van eigen sleutels en voldoet het aan de eis om de kosten te minimaliseren. SSE-C (Server-Side Encryption with Customer-Provided Keys) vereist dat de klant de encryptiesleutels beheert, inclusief rotatie, wat niet automatisch is en de kosten niet minimaliseert. SSE-S3 (Server-Side Encryption with Amazon S3-Managed Keys) versleutelt wel, maar biedt geen automatische jaarlijkse sleutelrotatie die traceerbaar is in CloudTrail. "Door de klant beheerde AWS KMS keys" is geen standaard AWS-encryptieoptie; KMS-sleutels worden beheerd door AWS, hoewel de klant wel het beleid kan definiëren.