Courseiva
← Questions CLF-C02
Voir la question originale en anglais
MoyenneChoix unique

Question d'entraînement CLF-C02

Une entreprise stocke des données financières sensibles dans Amazon S3. La politique de sécurité de l'entreprise exige que toutes les données soient chiffrées au repos à l'aide d'une clé que l'entreprise crée et gère, avec la capacité de faire pivoter la clé annuellement. L'entreprise a également besoin d'une piste d'audit indiquant quand la clé a été utilisée et par quel service AWS. Quelle solution l'entreprise doit-elle utiliser pour répondre à ces exigences ?

Choisissez la meilleure réponse.

Bonne réponse

  • BUtiliser le chiffrement côté serveur avec des clés gérées par le client AWS KMS (SSE-KMS).

Explication

SSE-KMS avec une clé gérée par le client (CMK) permet à l'entreprise de créer et de gérer sa propre clé de chiffrement, d'activer la rotation automatique annuelle des clés via AWS KMS et fournit des journaux d'audit CloudTrail détaillés de chaque appel d'API KMS (par exemple, Decrypt, GenerateDataKey) indiquant quel service ou utilisateur AWS a utilisé la clé. Cela satisfait toutes les exigences énoncées : clé gérée par le client, rotation annuelle et piste d'audit.

Pourquoi chaque option est juste ou fausse

A

Fausse

Utiliser le chiffrement côté serveur avec des clés gérées par S3 (SSE-S3).

SSE-S3 utilise des clés gérées par AWS qui ne peuvent pas être pivotées par le client et ne fournissent pas de piste d'audit détaillée de l'utilisation des clés via CloudTrail. Bien qu'il fournisse un chiffrement au repos, il ne répond pas à l'exigence de rotation et d'audit des clés gérées par le client.

B

Juste

Utiliser le chiffrement côté serveur avec des clés gérées par le client AWS KMS (SSE-KMS).

SSE-KMS avec des clés gérées par le client permet à l'entreprise de créer, posséder et faire pivoter des clés chaque année via KMS, et chaque utilisation cryptographique est enregistrée dans CloudTrail, identifiant le service AWS appelant. Cela répond aux contraintes de chiffrement au repos, de contrôle des clés et de piste d'audit.

C

Fausse

Utiliser le chiffrement côté serveur avec des clés fournies par le client (SSE-C).

SSE-C exige que le client fournisse la clé de chiffrement à chaque requête, mais Amazon S3 ne stocke pas la clé. Le client doit gérer la clé séparément (par exemple, rotation, stockage), ce qui ne correspond pas à l'exigence d'avoir S3 qui gère la clé sous le contrôle du client. De plus, SSE-C ne fournit pas de rotation de clé intégrée ni d'audit CloudTrail intégré pour la clé elle-même.

D

Fausse

Utiliser le chiffrement côté client avec une clé gérée par AWS KMS.

Le chiffrement côté client chiffre les données avant qu'elles ne soient envoyées à Amazon S3. La clé de chiffrement est gérée par l'application cliente, et non par S3. Bien qu'AWS KMS puisse être utilisé comme source de clés, le chiffrement se produit en dehors de S3 et l'entreprise est responsable de la mise en œuvre de la logique de chiffrement. Cela ajoute de la complexité et n'exploite pas les capacités natives de chiffrement côté serveur de S3.

Pour aller plus loin

SSE-KMS avec une clé gérée par le client vous permet de contrôler la politique de clé, d'activer la rotation annuelle automatique, et chaque appel Encrypt/Decrypt est enregistré dans AWS CloudTrail avec le principal du service demandeur, satisfaisant l'exigence d'audit. Un comportement subtil : S3 envoie l'ARN de la clé dans la requête, et si l'appelant ne dispose pas de kms:Decrypt ou kms:GenerateDataKey, la requête échoue même si la politique IAM S3 l'autorise ; de plus, les requêtes KMS sont soumises à des quotas par seconde, de sorte que les charges de travail à haut débit peuvent nécessiter des clés de compartiment S3 pour réduire les appels KMS. SSE-C utilise une clé que vous fournissez à chaque requête et ne produit aucune piste d'utilisation de clé CloudTrail, tandis que SSE-S3 utilise une clé gérée par AWS que vous ne pouvez ni faire pivoter ni auditer, de sorte qu'aucune des deux ne répond à la politique énoncée.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.