Bir şirket, çeşitli hesapları yönetmek için AWS Organizations kullanır ve yüksek hacimli hassas veriyi işler. Veriler Amazon S3 ve Amazon DynamoDB'de depolanır ve AWS Lambda fonksiyonları ile AWS Fargate üzerindeki Amazon EKS'de çalışan konteynerli servisler tarafından erişilir. Şirket, tüm verileri beklerken şifrelemeli ve veri erişimi için en az ayrıcalık ilkesini uygulamalıdır. Şirket, müşteri tarafından yönetilen bir AWS KMS key oluşturmuştur. Bu gereksinimleri karşılamak için şirketin bir sonraki adımı ne olmalıdır?

Doğru cevap, en az ayrıcalık ilkesini uygularken hem şifreleme hem de veri erişimi gereksinimlerini karşılar. KMS anahtar politikası, yalnızca S3, DynamoDB, Lambda ve EKS gibi ilgili hizmetlerin kms:Decrypt işlemini gerçekleştirmesine izin vererek erişimi kısıtlar. Bu, anahtarın yetkisiz hizmetler tarafından kullanılmasını önler. Ek olarak, şifrelenmemiş S3 bucket'larının ve DynamoDB tablolarının oluşturulmasını reddeden bir Hizmet Kontrol Politikası (SCP) oluşturmak, kuruluş genelinde şifreleme uygulamasını zorunlu kılar. Diğer seçenekler yetersizdir: Yalnızca S3 ve DynamoDB için kms:Decrypt'e izin vermek, Lambda ve EKS'nin verilere erişmesini engeller. kms:Decrypt'i reddeden bir IAM politikası oluşturmak, ilgili hizmetlerin verilere erişmesini engeller. AWS Config kuralı yalnızca uyarı verir, şifrelemeyi zorunlu kılmaz. AWS Config kuralı yalnızca uyarı verir, şifrelemeyi zorunlu kılmaz. SCP'nin eksikliği, şifrelenmemiş kaynakların oluşturulmasına izin verir.