Yeni bir Amazon S3 bucket'ına yüklenen nesneler için AWS KMS'deki bir müşteri ana anahtarı (CMK) kullanarak istemci tarafı şifrelemesi uygulamanız gerekiyor. Bir IAM rolünün iliştirilmiş bir ilkesi var ve testler, rolün bucket'taki mevcut test nesnelerini okuyabildiğini, ancak yüklemelerin yasak hatasıyla başarısız olduğunu gösteriyor. Gereksinimleri karşılarken yüklemelerin başarılı olması için IAM ilkesine hangi KMS eylemi eklenmelidir?

Doğru cevap kms:GenerateDataKey'dir. İstemci tarafı şifrelemesi için, istemcinin verileri şifrelemek üzere bir veri anahtarı oluşturması gerekir. Bu anahtar, KMS CMK'si tarafından şifrelenir ve ardından istemci tarafından kullanılır. kms:GenerateDataKey izni, IAM rolünün bu veri anahtarını KMS'den talep etmesini sağlar. kms:GetKeyPolicy yanlış çünkü bu izin, bir anahtarın politikasını görüntülemek içindir, veri şifrelemek için anahtar oluşturmak için değil. kms:GetPublicKey yanlış çünkü bu, asimetrik anahtarların açık anahtarını almak içindir ve burada simetrik şifreleme bağlamında veri anahtarı oluşturma ihtiyacı vardır. kms:Sign yanlış çünkü bu, dijital imza oluşturmak için kullanılır, veri şifrelemesi için değil.