Een Lambda-functie genereert een JSON-bestand van 3 MB met gevoelige gegevens en uploadt dit dagelijks naar S3. De ontwikkelaar moet ervoor zorgen dat het bestand wordt versleuteld voordat het wordt geüpload. Welke wijziging moet de ontwikkelaar implementeren zodat de gegevens vóór de upload worden versleuteld?

De correcte optie is om de GenerateDataKey API aan te roepen en de geretourneerde gegevenssleutel te gebruiken om het bestand in de Lambda-functiecode te versleutelen voordat het wordt geüpload. Dit zorgt voor client-side versleuteling, wat betekent dat de gevoelige gegevens versleuteld zijn voordat ze Amazon S3 bereiken. De andere opties beschrijven server-side versleuteling (SSE-S3, SSE-KMS), waarbij S3 de versleuteling uitvoert nadat het object is ontvangen. Hoewel deze methoden de gegevens in rust beveiligen, voldoen ze niet aan de vereiste om het bestand vóór de upload te versleutelen. Het gebruik van een standaard of door de klant beheerde KMS-sleutel voor S3 vanuit de Lambda-functiecode zonder expliciete client-side versleuteling zou nog steeds betekenen dat de onversleutelde gegevens eerst naar S3 worden verzonden.