用於加密儲存資料的 AWS 服務，何者最為適切？

解析

AWS KMS 可建立並管理加密金鑰，能用於 S3、DynamoDB 等多項 AWS 服務的加密用途。

各選項解析

實際使用情境

在 AWS 中，承擔儲存資料（data at rest）加密核心職責的服務為 AWS Key Management Service（KMS）。KMS 是用於建立、保管、輪替加密金鑰（客戶主金鑰／KMS 金鑰）的受管服務，能從 S3、EBS、RDS、DynamoDB、Lambda、CloudWatch Logs、Secrets Manager、SNS、SQS 等多項 AWS 服務指定為「於儲存端進行加密的金鑰」。金鑰本身受到通過 FIPS 140-2 認證的硬體安全模組（HSM）保護，採用平文金鑰不會離開 KMS 的設計。 實務上的運用模式大致分為兩類。其一是使用 AWS 受管金鑰（aws/s3、aws/ebs 等由 AWS 端為各項服務建立的金鑰），以預設方式啟用加密。若無特殊需求，原則上先以此方式對儲存資料進行加密。另一類則是自行建立客戶受管金鑰（CMK）來使用，當需要更細緻的統制時採用此方式，例如金鑰輪替政策、可使用金鑰的 IAM 主體權限控制，以及透過金鑰政策進行帳戶界線控制等。容易混淆的服務有 CloudFront（CDN）、Route 53（DNS）、AWS Budgets（成本監控），這些服務皆非加密的主要負責對象，先整理清楚便能更容易縮減選項。 CLF-C02 中，會以「用於加密儲存資料的服務為何」「用於 S3 或 DynamoDB 儲存資料加密的金鑰管理服務是什麼」的形式出題。誤答經常以 CDN／DNS／成本監控服務等對位的模式出現。SAA-C03 以上則會深入考問 SSE-S3／SSE-KMS／SSE-C／用戶端加密的區分使用、金鑰政策與 IAM 政策的組合、Envelope Encryption 的機制等。