Bir sağlık sigortacısı, kişisel tanımlayıcı bilgileri (PII) bir Amazon S3 bucket'ında saklar ve şu anda S3 tarafından yönetilen anahtarlarla (SSE-S3) sunucu tarafı şifrelemesi kullanmaktadır. Yeni bir gereksinim, bucket'taki mevcut ve gelecekteki tüm nesnelerin şirketin güvenlik ekibi tarafından yönetilen anahtarlarla (müşteri tarafından yönetilen anahtarlar) şifrelenmesini zorunlu kılmaktadır. S3 bucket'ında sürüm oluşturma etkin değildir. Bu gereksinimi hangi yaklaşım karşılar?

Doğru cevap, yeni ve mevcut tüm nesnelerin şirket güvenlik ekibi tarafından yönetilen anahtarlarla (SSE-KMS) şifrelenmesi gereksinimini karşılar. S3 bucket özelliklerinde varsayılan şifrelemeyi SSE-KMS olarak ayarlamak, gelecekteki tüm nesnelerin otomatik olarak bu yöntemle şifrelenmesini sağlar. Şifrelenmemiş PutObject isteklerini reddeden bir bucket ilkesi eklemek, uyumluluğu zorunlu kılar ve yanlışlıkla şifrelenmemiş nesnelerin yüklenmesini önler. Mevcut nesnelerin SSE-KMS ile şifrelenmesi için yeniden yüklenmesi gerekir, çünkü varsayılan şifreleme ayarı yalnızca yeni nesneleri etkiler. Diğer seçenekler yanlıştır çünkü: SSE-S3, müşteri tarafından yönetilen anahtarlar yerine S3 tarafından yönetilen anahtarları kullanır. "GetObject ve PutObject isteklerinde nesneleri otomatik olarak şifreleyen bir bucket ilkesi ekleyin" ifadesi, S3'ün çalışma şekline uygun değildir; şifreleme PutObject sırasında gerçekleşir ve GetObject şifrelemeyi kaldırmaz. AES-256, SSE-S3'ün kullandığı şifreleme algoritmasıdır, ancak bu seçenek hala müşteri tarafından yönetilen anahtarlarla SSE-S3'ü belirtir ki bu da gereksinimi karşılamaz.