Bir şirket, bir Amazon EC2 örneğinde zamanlanmış olarak bir cron işi çalıştırmaktadır. Cron işi, 2 KB'lık bir dosyayı şifreleyen bir bash betiği çağırır. Müşteri tarafından yönetilen bir AWS Key Management Service (AWS KMS) anahtarı ve politikası yapılandırılmıştır ve EC2 örnek rolü gerekli izinlere sahiptir. Bash betiği dosyayı şifrelemek için hangi süreci kullanmalıdır?

Doğru cevap, aws kms encrypt komutunun doğrudan 2 KB'lık dosyayı şifrelemek için kullanılmasını önerir. AWS KMS, 4 KB'a kadar olan veri bloklarını doğrudan şifreleyebilir. Bu, küçük dosyalar için en basit ve en verimli yöntemdir. Diğer seçenekler neden yanlış: aws kms create-grant komutu, bir KMS anahtarına erişim izni vermek için kullanılır, doğrudan veri şifrelemesi yapmaz. Bir veri anahtarı oluşturmak için aws kms encrypt komutunu kullanmak doğru değildir; bu komut doğrudan veriyi şifreler. Ayrıca, düz metin veri anahtarını doğrudan dosyayı şifrelemek için kullanmak, güvenlik riski taşır ve KMS'in temel amacına aykırıdır. aws kms generate-data-key komutu bir veri anahtarı oluşturur, ancak dosyayı şifrelemek için şifrelenmiş (ciphertext) veri anahtarını kullanmak mümkün değildir. Dosyayı şifrelemek için düz metin veri anahtarına ihtiyaç duyulur ve bu anahtar kullanıldıktan sonra güvenli bir şekilde yok edilmelidir.