某個應用程式使用 AWS KMS 將資料加密，然後將其放入單一 AWS 區域中的 Amazon S3 儲存貯體。公司政策要求資料在上傳前必須加密，並在讀取時由應用程式解密。此 S3 儲存貯體會複製到其他區域。該應用程式必須能夠跨區域加密和解密資料，並在每個區域中使用相同的金鑰進行解密。哪種解決方案符合這些要求？

正確答案是建立一個 KMS 多區域主要金鑰，並在其他區域建立複本金鑰。AWS KMS 多區域金鑰允許您在不同 AWS 區域中產生相同金鑰 ID 和金鑰材料的金鑰複本。這確保了在一個區域使用主金鑰加密的資料，可以在任何其他區域使用其複本金鑰進行解密，滿足了跨區域解密且使用相同金鑰的要求。 選項二不正確，因為建立單獨的客戶管理型 KMS 金鑰會導致每個區域的金鑰不同，無法在不同區域間使用相同的金鑰解密資料。選項三不正確，AWS Private Certificate Authority 用於憑證管理，與資料加密/解密無關。選項四不正確，從 KMS 匯出金鑰材料並儲存在 Systems Manager Parameter Store 中不符合 KMS 的安全最佳實踐，且可能違反合規性要求，因為 KMS 金鑰材料不應直接匯出。