某個 CloudWatch Logs 日誌群組（建立於兩個月前）必須使用客戶管理的 AWS KMS key 來加密未來的日誌資料，以符合安全性要求。哪個選項能以最少的工作量滿足此需求？

正確答案是使用 AWS CLI aws logs associate-kms-key 命令將日誌群組與 KMS key ARN 關聯。這個命令專為將現有的 CloudWatch Logs 日誌群組與客戶管理的 KMS key 關聯而設計，以加密未來的日誌事件。這能以最少的工作量滿足需求，因為它直接解決了將 KMS key 應用於現有日誌群組的問題。 選項「使用 AWS Encryption SDK 在寫入日誌群組之前加密和解密資料」不正確，因為 CloudWatch Logs 支援原生 KMS 加密，無需手動預加密日誌資料。選項「使用 AWS KMS console 將 KMS key 直接附加到日誌群組」不正確，因為 AWS KMS console 主要用於管理 KMS key 本身，而不是將其直接關聯到 CloudWatch Logs 日誌群組。選項「在建立日誌群組時，執行 aws logs create-log-group 並指定 KMS key ARN」不正確，因為日誌群組已經存在（兩個月前建立），此命令用於建立新的日誌群組。