Firma opracowuje nową aplikację na AWS. Aplikacja obejmuje klaster Amazon ECS, zasobnik Amazon S3, który przechowuje zasoby aplikacji, oraz bazę danych Amazon RDS for MySQL zawierającą poufny zestaw danych. Firma chce zapewnić, że tylko klaster ECS będzie mógł uzyskać dostęp do bazy danych RDS i zasobnika S3. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź zapewnia, że tylko klaster ECS może uzyskać dostęp do zaszyfrowanych danych w S3 i RDS. Tworząc klucz zarządzany przez klienta (CMK) w AWS KMS i konfigurując jego politykę tak, aby rola wykonawcza zadania ECS miała uprawnienia do szyfrowania i deszyfrowania, skutecznie ograniczamy dostęp do danych. Inne usługi lub podmioty bez tych uprawnień nie będą mogły odszyfrować ani uzyskać dostępu do danych, nawet jeśli w jakiś sposób uzyskają do nich fizyczny dostęp. Niepoprawne opcje: Użycie klucza zarządzanego przez AWS (AWS-managed key) nie daje takiej samej kontroli nad uprawnieniami jak CMK. Polityka zasobnika S3 kontroluje dostęp do zasobnika, ale nie do odszyfrowania danych, jeśli są zaszyfrowane kluczem KMS. Ograniczanie dostępu poprzez polityki zasobnika S3 i grupy bezpieczeństwa RDS (z endpointami VPC) kontroluje dostęp sieciowy, ale nie zapewnia kontroli nad tym, kto może odszyfrować dane, jeśli ktoś uzyska dostęp do zaszyfrowanych danych poza siecią. Sama konfiguracja endpointów VPC i grup bezpieczeństwa kontroluje ruch sieciowy, ale nie zapewnia szyfrowania i kontroli dostępu na poziomie klucza, co jest kluczowe dla poufnych danych.