Firma używa AWS Organizations do zarządzania kilkoma kontami i przetwarza dużą ilość wrażliwych danych. Dane są przechowywane w Amazon S3 i Amazon DynamoDB, a dostęp do nich mają funkcje AWS Lambda i usługi skonteneryzowane na Amazon EKS w AWS Fargate. Firma musi szyfrować wszystkie dane w spoczynku i egzekwować zasadę najmniejszych uprawnień dla dostępu do danych. Firma utworzyła klucz AWS KMS zarządzany przez klienta. Co firma powinna zrobić w następnej kolejności, aby spełnić te wymagania?

Poprawna odpowiedź spełnia oba wymagania: szyfrowanie danych w spoczynku i zasadę najmniejszych uprawnień. Polityka klucza KMS ograniczająca kms:Decrypt tylko do usług S3, DynamoDB, Lambda i EKS zapewnia zasadę najmniejszych uprawnień, ponieważ tylko te autoryzowane usługi mogą używać klucza do deszyfrowania. SCP (Service Control Policy) egzekwuje szyfrowanie danych w spoczynku, odmawiając tworzenia zasobów S3 i DynamoDB, które nie są zaszyfrowane za pomocą określonego klucza KMS. Pozostałe opcje są niekompletne lub niepoprawne: Pierwsza opcja ogranicza kms:Decrypt tylko do S3 i DynamoDB, pomijając Lambda i EKS, które również potrzebują dostępu. Druga opcja używa polityki IAM odmawiającej kms:Decrypt, co jest sprzeczne z potrzebą dostępu do klucza. Reguła AWS Config tylko ostrzega, nie egzekwuje. Czwarta opcja używa reguły AWS Config, która tylko alertuje, a nie egzekwuje szyfrowania, co jest wymagane przez firmę.