Nowe obciążenie wykorzystuje bazę danych Amazon RDS for MySQL Multi-AZ. Firma wymaga, aby wszystkie dane w spoczynku były szyfrowane, a klucze rotowane co roku. Jaka konfiguracja spełnia te wymagania?

Poprawna odpowiedź to stworzenie klucza AWS KMS zarządzanego przez klienta (CMK), włączenie dla niego automatycznej rotacji i użycie go do szyfrowania RDS podczas tworzenia bazy danych. Szyfrowanie RDS zapewnia szyfrowanie danych w spoczynku, a użycie CMK z automatyczną rotacją spełnia wymóg rocznej rotacji kluczy. Włączenie Transparent Data Encryption (TDE) w MySQL jest opcją, ale wymaga ręcznej rotacji klucza, co nie spełnia wymogu automatyzacji. Włączenie szyfrowania RDS za pomocą klucza zarządzanego przez AWS dla Amazon RDS nie pozwala na kontrolę nad rotacją klucza, ponieważ klucze zarządzane przez AWS są rotowane co trzy lata, a nie co roku. Szyfrowanie woluminów EBS dołączonych do instancji bazy danych RDS jest częścią szyfrowania RDS, ale nie zapewnia kontroli nad kluczem ani jego rotacją bez użycia CMK.