Компания будет хранить данные в корзинах Amazon S3 в двух регионах AWS и должна использовать управляемый клиентом ключ AWS KMS для шифрования всех данных в этих корзинах S3. Данные в обеих корзинах S3 должны быть зашифрованы и расшифрованы одним и тем же ключом KMS, а данные и ключ должны храниться в каждом из двух регионов. Какое решение соответствует этим требованиям с НАИМЕНЬШИМИ операционными издержками?

Правильный ответ — создание многорегионального ключа KMS, так как он позволяет использовать один и тот же ключ KMS в нескольких регионах, что соответствует требованию шифрования и дешифрования данных одним и тем же ключом в обоих регионах. Использование клиентского шифрования (client-side encryption) означает, что приложение шифрует данные перед их отправкой в S3, а затем дешифрует их при получении, используя этот многорегиональный ключ. Это обеспечивает, что данные и ключ доступны в каждом регионе, и минимизирует операционные издержки, поскольку не требуется управлять отдельными ключами в каждом регионе. Остальные варианты не подходят, потому что: SSE-S3 использует ключи, управляемые Amazon, а не клиентом, что не соответствует требованию. Создание управляемого клиентом ключа KMS в каждом регионе без использования многорегионального ключа потребует управления отдельными ключами и не позволит использовать "тот же ключ" для шифрования и дешифрования во всех регионах без дополнительных сложных механизмов синхронизации. SSE-KMS с обычным ключом KMS не обеспечивает доступность "того же ключа" в другом регионе для дешифрования реплицированных данных.