Компания разрабатывает новое приложение на AWS. Приложение включает кластер Amazon ECS, бакет Amazon S3, в котором хранятся ресурсы приложения, и базу данных Amazon RDS for MySQL, содержащую конфиденциальный набор данных. Компания хочет убедиться, что только кластер ECS может получить доступ к базе данных RDS и бакету S3. Какое решение соответствует этим требованиям?

Правильный ответ — создание управляемого клиентом ключа AWS KMS. Этот ключ может быть использован для шифрования как бакета S3, так и базы данных RDS. Политика ключа KMS позволяет точно определить, какие сущности (в данном случае, роль выполнения задач ECS) имеют разрешения на шифрование и дешифрование данных. Это обеспечивает, что только авторизованный кластер ECS может получить доступ к зашифрованным ресурсам. Неправильные варианты: Использование управляемого AWS ключа KMS не позволяет настроить политику доступа так гранулярно, как требуется. Ограничение доступа к S3 через политику бакета и к RDS через группу безопасности и VPC endpoint не обеспечивает комплексного контроля доступа на уровне шифрования, как KMS. Эти меры дополняют безопасность, но не являются основным механизмом для обеспечения доступа ТОЛЬКО кластеру ECS. Создание VPC endpoint для RDS и S3, а также обновление группы безопасности RDS и политики бакета S3, улучшает сетевую безопасность, но не решает задачу ограничения доступа на уровне аутентификации и авторизации к зашифрованным данным, как это делает KMS.