Функция Lambda генерирует JSON-файл размером 3 МБ, содержащий конфиденциальные данные, и ежедневно загружает его в S3. Разработчик должен убедиться, что файл зашифрован перед загрузкой. Какое изменение должен реализовать разработчик, чтобы данные были зашифрованы до загрузки?

Правильный ответ — вызвать API GenerateDataKey, затем использовать возвращенный ключ данных для шифрования файла внутри кода функции Lambda перед загрузкой. Это позволяет выполнить шифрование на стороне клиента (client-side encryption) перед отправкой данных в S3. Функция Lambda генерирует ключ данных с помощью KMS, использует его для шифрования 3 МБ файла локально, а затем загружает зашифрованный файл и зашифрованный ключ данных в S3. Использование ключа AWS KMS по умолчанию для Amazon S3 или управляемого клиентом ключа AWS KMS для S3 из кода функции Lambda предполагает шифрование на стороне сервера (server-side encryption), при котором данные шифруются S3 после загрузки. Это не соответствует требованию шифрования до загрузки. Использование управляемого S3 ключа и вызов API GenerateDataKey не является корректным подходом, так как управляемые S3 ключи (SSE-S3) не требуют GenerateDataKey и не обеспечивают шифрование на стороне клиента.