Компания регулярно загружает конфиденциальные данные в Amazon S3 для анализа. Политика безопасности требует, чтобы объекты были зашифрованы в состоянии покоя, ключ шифрования должен автоматически меняться ежегодно, ротация ключей должна отслеживаться в AWS CloudTrail, а затраты на ключи должны быть минимизированы. Какое решение соответствует этим требованиям?

SSE-KMS (Server-Side Encryption with AWS KMS keys) соответствует всем требованиям. Оно обеспечивает шифрование объектов в состоянии покоя, а ключи KMS автоматически ротируются ежегодно, что соответствует политике безопасности. Все операции с ключами KMS автоматически регистрируются в AWS CloudTrail, обеспечивая отслеживаемость. Использование KMS является экономически эффективным решением для управления ключами, поскольку AWS управляет инфраструктурой ключей. SSE-C (с предоставленными клиентом ключами) требует, чтобы клиент управлял ключами, их ротацией и отслеживанием, что не соответствует требованию автоматической ротации и отслеживания в CloudTrail. SSE-S3 (с ключами, управляемыми Amazon S3) не поддерживает автоматическую ротацию ключей и не предоставляет прямого отслеживания использования ключей в CloudTrail, так как ключи управляются AWS. Вариант "серверное шифрование с управляемыми клиентом ключами AWS KMS" является неточным, так как KMS ключи управляются AWS, а не клиентом.