После восстановления инцидента с инстансами EC2 из снимков Amazon EBS компания, использующая управляемый клиентом ключ AWS Key Management Service (AWS KMS) для шифрования снимков, проводит анализ пробелов в аварийном восстановлении. Компании требуется решение для восстановления инстансов EC2, даже если основная учетная запись AWS скомпрометирована, а ее снимки EBS удалены. Какое решение соответствует этому требованию?

Правильный ответ — создание отдельной, ограниченной учетной записи AWS и копирование зашифрованных снимков в нее. Это решение обеспечивает изоляцию данных: даже если основная учетная запись скомпрометирована и снимки удалены, их копии остаются в другой учетной записи, защищенные от удаления злоумышленником. Доступ к ключу KMS необходим для расшифровки снимков в новой учетной записи. Остальные варианты не обеспечивают достаточную защиту: Перемещение снимков в S3 с политиками жизненного цикла EBS не является стандартной функцией, и снимки EBS не хранятся напрямую в S3 таким образом. Кроме того, S3 Object Lock в основной учетной записи не защитит от удаления снимков EBS. Использование AWS Systems Manager для резервного копирования в S3 не решает проблему компрометации основной учетной записи, так как S3-бакеты будут находиться в той же учетной записи. AWS Backup в S3 с S3 Object Lock также не обеспечивает изоляцию от компрометации основной учетной записи, поскольку резервные копии будут храниться в той же учетной записи.