Aplikacja przechowuje obiekty w Amazon S3. Deweloper musi wymusić szyfrowanie przesyłanych danych (in-transit encryption) dla dostępu do S3, a wszystkie obiekty zawierające dane osobowe muszą być szyfrowane w spoczynku (at rest) za pomocą kluczy zarządzanych przez klienta AWS KMS, które mogą być rotowane na żądanie. Która kombinacja działań spełnia te wymagania? (Wybierz dwie opcje)

Aby wymusić szyfrowanie danych w tranzycie (in-transit encryption), należy użyć polityki zasobnika S3, która wymaga warunku aws:SecureTransport. Ten warunek zezwala tylko na połączenia HTTPS, zapewniając szyfrowanie podczas przesyłania danych. Modyfikacja aplikacji, aby szyfrowała obiekty za pomocą klucza zarządzanego przez klienta AWS KMS przed ich przesłaniem do S3, spełnia wymóg szyfrowania danych w spoczynku (at rest) za pomocą kluczy zarządzanych przez klienta, które mogą być rotowane na żądanie. Opcja z granicą uprawnień (permissions boundary) jest niepoprawna, ponieważ granice uprawnień definiują maksymalne uprawnienia dla tożsamości IAM, a nie wymuszają szyfrowanie połączeń. Polityka zasobnika wymuszająca szyfrowanie po stronie klienta za pomocą klucza KMS jest niepoprawna, ponieważ polityki zasobnika nie wymuszają szyfrowania po stronie klienta. Ustawienia S3 Block Public Access są przeznaczone do blokowania publicznego dostępu do zasobników, a nie do wymuszania szyfrowanych połączeń HTTPS.