Компания должна предоставить клиентам безопасный доступ к данным. Компания обрабатывает данные клиентов и хранит результаты в бакете Amazon S3. Данные подлежат строгим правилам и должны быть зашифрованы в состоянии покоя. Каждый клиент должен иметь доступ только к своим данным из своей учетной записи AWS, а сотрудники компании не должны иметь доступ к данным клиентов. Какое решение соответствует этим требованиям?

Правильный ответ обеспечивает шифрование данных в состоянии покоя, изоляцию доступа для каждого клиента и запрет доступа сотрудникам компании. Использование отдельного ключа AWS KMS для каждого клиента позволяет тонко настраивать политики доступа. Политика ключа KMS может явно разрешать расшифровку только для IAM-роли клиента, что предотвращает доступ сотрудников компании и гарантирует, что каждый клиент может расшифровывать только свои данные. Шифрование на стороне сервера (SSE-KMS) удобно и безопасно. Остальные варианты не подходят: Использование AWS Certificate Manager (ACM) не имеет отношения к шифрованию данных в S3 и контролю доступа к ним. ACM используется для SSL/TLS-сертификатов. Вариант с политикой бакета S3, запрещающей расшифровку, менее гибок и безопасен, чем политика самого ключа KMS. Политика ключа KMS является более гранулярным и надежным способом контроля доступа к операции расшифровки.