某公司正在 AWS 上開發一個新應用程式。該應用程式包含一個 Amazon ECS 叢集、一個儲存應用程式資產的 Amazon S3 儲存桶，以及一個包含敏感資料集的 Amazon RDS for MySQL 資料庫。該公司希望確保只有 ECS 叢集可以存取 RDS 資料庫和 S3 儲存桶。哪種解決方案符合這些要求？

正確答案是建立一個新的 AWS KMS 客戶管理金鑰 (CMK)，並將其用於加密 S3 儲存桶和 RDS for MySQL 資料庫，同時確保 KMS 金鑰政策授予 ECS 任務執行角色加密和解密權限。這樣做可以透過加密來保護資料，並透過 KMS 金鑰政策精確控制哪些實體（此處為 ECS 任務執行角色）可以存取這些加密資料，從而滿足只有 ECS 叢集可以存取 RDS 和 S3 的要求。 其他選項的錯誤原因： 使用 AWS 受管金鑰無法提供足夠的精細存取控制，因為其金鑰政策無法直接修改以限制特定角色。 僅透過 S3 儲存桶政策限制存取，並更新 RDS 安全群組，雖然有助於存取控制，但未提供加密層級的保護和存取限制。 建立 VPC endpoint 並更新安全群組和儲存桶政策，主要是限制網路層面的存取，而非資料加密層面的存取控制，且未涵蓋 RDS 的加密存取控制。