Группа журналов CloudWatch Logs (созданная 2 месяца назад) должна шифровать будущие данные журналов с помощью управляемого клиентом ключа AWS KMS для соответствия требованиям безопасности. Какой вариант удовлетворяет этой потребности с наименьшими усилиями?

Правильный ответ — использование команды AWS CLI aws logs associate-kms-key. Эта команда позволяет связать существующую группу журналов CloudWatch Logs с ключом KMS, что приводит к шифрованию всех будущих данных журналов, записываемых в эту группу, с помощью указанного ключа. Это соответствует требованию шифрования будущих данных с минимальными усилиями, поскольку не требует изменения существующей логики записи журналов. Вариант с aws logs create-log-group неверен, так как группа журналов уже существует. Шифрование и дешифрование данных перед записью с помощью AWS Encryption SDK — это ручное решение, требующее изменений в приложении, что не является наименьшим усилием. Использование консоли AWS KMS для непосредственного присоединения ключа KMS к группе журналов не является стандартным способом настройки шифрования для CloudWatch Logs; это делается через CloudWatch Logs.