Firma uruchamia zadanie cron na instancji Amazon EC2 zgodnie z harmonogramem. Zadanie cron wywołuje skrypt bash, który szyfruje plik o rozmiarze 2 KB. Skonfigurowano klucz zarządzany przez klienta AWS Key Management Service (AWS KMS) oraz politykę, a rola instancji EC2 ma wymagane uprawnienia. Jakiego procesu powinien użyć skrypt bash do zaszyfrowania pliku?

Poprawna odpowiedź to użycie polecenia aws kms encrypt do bezpośredniego zaszyfrowania pliku istniejącym kluczem KMS. AWS KMS może szyfrować małe ładunki danych (do 4 KB) bezpośrednio za pomocą klucza KMS. Ponieważ plik ma rozmiar 2 KB, mieści się w tym limicie. Pozostałe opcje są nieprawidłowe: aws kms create-grant służy do zarządzania uprawnieniami do klucza KMS, a nie do szyfrowania danych. Generowanie klucza danych, a następnie użycie go w postaci jawnej do zaszyfrowania pliku, jest niebezpieczne, ponieważ klucz jawny pozostaje niezabezpieczony. Użycie zaszyfrowanego klucza danych (ciphertext) do zaszyfrowania pliku jest niemożliwe; do szyfrowania danych zawsze potrzebny jest klucz w postaci jawnej. Klucze danych są generowane i używane, gdy dane są zbyt duże, aby zaszyfrować je bezpośrednio za pomocą klucza KMS.