Компания использует AWS Organizations для управления несколькими аккаунтами и обрабатывает большой объем конфиденциальных данных. Данные хранятся в Amazon S3 и Amazon DynamoDB и доступны функциям AWS Lambda и контейнерным сервисам на Amazon EKS в AWS Fargate. Компания должна шифровать все данные в состоянии покоя и применять принцип наименьших привилегий для доступа к данным. Компания создала управляемый клиентом ключ AWS KMS. Что должна сделать компания дальше, чтобы удовлетворить этим требованиям?

Правильный ответ обеспечивает шифрование данных в состоянии покоя и применение принципа наименьших привилегий. Политика ключа KMS должна разрешать kms:Decrypt для всех сервисов, которые будут взаимодействовать с зашифрованными данными (S3, DynamoDB, Lambda, EKS), чтобы они могли расшифровывать данные. SCP является наиболее эффективным способом обеспечения обязательного шифрования на уровне организации, запрещая создание незашифрованных ресурсов S3 и DynamoDB. Неправильный вариант 1: Ограничение kms:Decrypt только для S3 и DynamoDB не позволит Lambda и EKS расшифровывать данные. SCP правильный. Неправильный вариант 2: Запрет kms:Decrypt сделает ключ бесполезным. Использование запланированной функции Lambda и правил Config не обеспечивает принудительного шифрования на уровне организации. Неправильный вариант 4: Хотя политика ключа правильна, правило AWS Config лишь оповещает о несоблюдении, а не предотвращает создание незашифрованных ресурсов, что не соответствует требованию принудительного шифрования.