Inżynier bezpieczeństwa musi włączyć bezproblemowe szyfrowanie obiektów Amazon S3 bez konieczności bezpośredniego zarządzania kluczami szyfrowania przez użytkowników. Rozwiązanie musi skalować się przy minimalnym bieżącym zarządzaniu, a organizacja musi mieć możliwość natychmiastowego odwołania i usunięcia kluczy szyfrowania. Które podejście spełnia te wymagania?

Prawidłowa odpowiedź to użycie AWS KMS z zaimportowanym materiałem klucza. Pozwala to na bezproblemowe szyfrowanie S3 bez bezpośredniego zarządzania kluczami przez użytkowników, ponieważ KMS zarządza ich użyciem. Skalowalność jest zapewniona przez KMS, a minimalne zarządzanie bieżące wynika z tego, że AWS obsługuje infrastrukturę kluczy. Najważniejsze jest to, że zaimportowany materiał klucza (BYOK) w KMS umożliwia natychmiastowe odwołanie i usunięcie kluczy poprzez wywołanie DeleteImportedKeyMaterial, co jest kluczowym wymaganiem. Pozostałe opcje są nieprawidłowe: Klucze zarządzane przez AWS (AWS-managed keys) w KMS nie pozwalają na natychmiastowe usunięcie; ScheduleKeyDeletion ma minimalny okres oczekiwania. AWS CloudHSM wymaga znacznego zarządzania i nie jest tak bezproblemowy dla szyfrowania S3 jak KMS. Przechowywanie kluczy w Systems Manager Parameter Store nie zapewnia funkcji szyfrowania S3 ani natychmiastowego odwołania kluczy w taki sam sposób jak KMS.