Firma przechowuje poufne dane w Amazon S3. Architekt rozwiązań musi stworzyć rozwiązanie szyfrujące, które zapewni firmie pełną kontrolę nad tworzeniem, rotacją i wyłączaniem kluczy szyfrujących, przy minimalnym wysiłku w przypadku danych, które muszą być zaszyfrowane. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to utworzenie klucza zarządzanego przez klienta (CMK) w AWS KMS i użycie go do szyfrowania SSE-KMS. To rozwiązanie zapewnia firmie pełną kontrolę nad tworzeniem, rotacją i wyłączaniem kluczy, ponieważ CMK są zarządzane przez użytkownika. SSE-KMS minimalizuje wysiłek, ponieważ S3 automatycznie obsługuje szyfrowanie i deszyfrowanie przy użyciu wybranego klucza. Opcja SSE-S3 nie daje pełnej kontroli nad kluczami, ponieważ są one zarządzane przez AWS. Klucz zarządzany przez AWS w AWS KMS również nie zapewnia pełnej kontroli, ponieważ AWS zarządza jego rotacją i dostępem. Pobieranie obiektów do instancji EC2, szyfrowanie ich ręcznie i ponowne przesyłanie jest nieefektywne, kosztowne i niepotrzebnie skomplikowane, a także nie zapewnia automatycznej rotacji kluczy ani łatwego zarządzania cyklem życia klucza.