Q45 — AWS SAP-C02 第1章

第 45/75 题 | ← 返回第1章

Q120. 一家公司由两个独立的业务部门组成。每个业务部门在 AWS Organizations 中的单个组织内有自己的 AWS 账户。业务部门经常相互共享敏感文档。为方便共享，公司在每个账户中创建了 Amazon S3 存储桶，并配置了两个 S3 存储桶之间的双向复制。S3 存储桶有数百万个对象。最近的安全审计发现两个 S3 存储桶都未启用静态加密。公司策略要求所有文档必须使用静态加密存储。公司希望实施使用 Amazon S3 托管加密密钥的服务端加密 (SSE-S3)。满足这些要求的最具运维效率的解决方案是什么？

• A. 在两个 S3 存储桶上开启 SSE-S3。使用 S3 Batch Operations 在同一位置复制和加密对象。 ✓
• B. 在每个账户中创建 AWS Key Management Service (AWS KMS) 密钥。使用相应账户中的 KMS 密钥在每个 S3 存储桶上开启使用 AWS KMS 密钥的服务端加密 (SSE-KMS)。使用 AWS CLI 中的 S3 复制命令加密现有对象。
• C. 在两个 S3 存储桶上开启 SSE-S3。使用 AWS CLI 中的 S3 复制命令加密现有对象。
• D. 在每个账户中创建 AWS Key Management Service (AWS KMS) 密钥。使用相应账户中的 KMS 密钥在每个 S3 存储桶上开启使用 AWS KMS 密钥的服务端加密 (SSE-KMS)。使用 S3 Batch Operations 将对象复制到同一位置。

正确答案: A. 在两个 S3 存储桶上开启 SSE-S3。使用 S3 Batch Operations 在同一位置复制和加密对象。

解析

为以最具运维效率的方式实施 SSE-S3 加密，推荐的解决方案是： A. 在两个 S3 存储桶上开启 SSE-S3。使用 S3 Batch Operations 在同一位置复制和加密对象。 说明： 1. 开启 SSE-S3 将自动加密所有新对象。 2. S3 Batch Operations 可以大规模处理数百万个现有对象，将它们复制到同一位置以应用加密，这比使用 CLI 手动复制更具运维效率。 3. 题目要求使用 SSE-S3，不需要 KMS 密钥。