Een bedrijf voert een cron job uit op een Amazon EC2-instance volgens een schema. De cron job roept een bash-script aan dat een bestand van 2 KB versleutelt. Een door de klant beheerde AWS Key Management Service (AWS KMS)-sleutel en -beleid zijn geconfigureerd, en de EC2-instance-rol heeft de vereiste machtigingen. Welk proces moet het bash-script gebruiken om het bestand te versleutelen?

De aws kms encrypt-opdracht is de juiste keuze omdat deze direct kleine hoeveelheden gegevens (tot 4 KB) kan versleutelen met een AWS KMS-sleutel. Aangezien het bestand slechts 2 KB is, valt dit binnen de limiet en is directe versleuteling efficiënt. De optie om create-grant te gebruiken is onjuist omdat grants worden gebruikt voor het delegeren van machtigingen, niet voor het direct versleutelen van gegevens. Het genereren van een datasleutel met aws kms encrypt en deze plaintext gebruiken om het bestand te versleutelen, is onveilig. De plaintext datasleutel zou dan onbeschermd zijn. Het genereren van een datasleutel met aws kms generate-data-key en de versleutelde datasleutel gebruiken om het bestand te versleutelen, is onjuist. De versleutelde datasleutel kan niet direct worden gebruikt voor versleuteling; de plaintext datasleutel is hiervoor nodig, die vervolgens na gebruik vernietigd moet worden. Dit proces is complexer en onnodig voor kleine bestanden.