Ubezpieczyciel zdrowotny przechowuje dane PII w zasobniku Amazon S3 i obecnie używa szyfrowania po stronie serwera z kluczami zarządzanymi przez S3 (SSE-S3). Nowy wymóg nakazuje, aby wszystkie istniejące i przyszłe obiekty w zasobniku były szyfrowane kluczami zarządzanymi przez zespół bezpieczeństwa firmy (klucze zarządzane przez klienta). Zasobnik S3 nie ma włączonego wersjonowania. Które podejście spełnia ten wymóg?

Poprawna odpowiedź spełnia wszystkie wymagania: ustawia domyślne szyfrowanie na SSE-KMS (klucze zarządzane przez zespół bezpieczeństwa), wymusza szyfrowanie dla nowych obiektów za pomocą polityki zasobnika odrzucającej niezaszyfrowane żądania PutObject oraz szyfruje istniejące obiekty poprzez ich ponowne przesłanie, co jest konieczne, ponieważ zmiana domyślnego szyfrowania nie ma wpływu na już istniejące obiekty. Pierwsza niepoprawna opcja myli SSE-S3 z szyfrowaniem kluczami zarządzanymi przez klienta, co nie jest zgodne z wymaganiem użycia kluczy zarządzanych przez zespół bezpieczeństwa. Trzecia opcja jest nieprawidłowa, ponieważ polityka zasobnika nie może automatycznie szyfrować obiektów podczas żądań GetObject i PutObject; może jedynie wymuszać szyfrowanie. Czwarta opcja odnosi się do AES-256 z kluczem zarządzanym przez klienta, co jest formą SSE-C, a nie SSE-KMS, które jest preferowane dla kluczy zarządzanych przez zespół bezpieczeństwa w AWS.