Firma przechowuje często używane obiekty w zasobniku Amazon S3 i stosuje rygorystyczne wymagania dotyczące szyfrowania. Firma używa AWS Key Management Service (AWS KMS) do szyfrowania, ale chce zmniejszyć koszty związane z szyfrowaniem obiektów S3 bez wykonywania dodatkowych wywołań AWS KMS. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to użycie klucza S3 Bucket Key z szyfrowaniem po stronie serwera za pomocą kluczy AWS KMS (SSE-KMS) dla nowych obiektów. S3 Bucket Keys zmniejszają koszty żądań AWS KMS poprzez generowanie unikalnego klucza danych dla obiektu w S3, który jest używany do szyfrowania obiektu, zamiast bezpośredniego wywoływania KMS dla każdego obiektu. Ten klucz danych jest następnie szyfrowany przez klucz KMS. To drastycznie zmniejsza liczbę wywołań do KMS, a tym samym koszty. Inne opcje są nieprawidłowe: SSE-S3 nie używa AWS KMS, więc nie spełnia wymagań firmy dotyczących używania KMS. Szyfrowanie po stronie klienta z kluczami zarządzanymi przez klienta AWS KMS wymagałoby dodatkowych wywołań KMS dla każdego obiektu, co zwiększyłoby koszty. SSE-C z kluczami przechowywanymi w AWS KMS jest nieprawidłową koncepcją; SSE-C używa kluczy dostarczonych przez klienta, które nie są zarządzane przez KMS.