在 AWS 中用以建立與管理靜態資料加密金鑰的服務為下列何者？

解析

AWS Key Management Service 是建立與管理加密金鑰、並可用於 S3、EBS、RDS、DynamoDB 等加密的受管服務。

各選項解析

實際使用情境

AWS Key Management Service（AWS KMS）是建立與管理加密金鑰（customer master key： CMK / 現稱 KMS 金鑰），並可運用於 AWS 各服務之資料加密的受管服務。KMS 金鑰保管 於 Hardware Security Module（HSM）中，且採用平文金鑰絕不離開硬體之外的設計。 Amazon S3、Amazon EBS、Amazon RDS、Amazon DynamoDB、AWS Secrets Manager、 AWS Systems Manager Parameter Store 等主要服務皆可指定 KMS 金鑰來加密靜態資料。 在考試的脈絡中，會出現選擇「在 AWS 中用以建立與管理靜態資料加密金鑰的服務」為 AWS KMS 的題目。錯誤選項常見組合包含 Amazon Route 53（DNS）、Amazon CloudFront （CDN）、AWS Budgets（預算管理）等與加密無關的服務。當題目明確使用「加密金鑰的 建立與管理」此項關鍵字時，雖然有時需要與 AWS CloudHSM（使用專屬 HSM）進行區分， 但於 CLF-C02 層級中，僅需整理為「受管共享 HSM ＝ KMS」「專屬獨佔 HSM ＝ CloudHSM」 即可作出區分。 實務上，KMS 金鑰分為 AWS 受管金鑰（由 AWS 端管理之各服務專用金鑰）與客戶受管金鑰 （由使用者建立與管理之金鑰）兩種。會搭配啟用金鑰輪替、藉由 IAM 政策與 KMS 金鑰 政策控制金鑰使用權限，以及藉由 AWS CloudTrail 對金鑰使用記錄進行稽核等運作。 CLF-C02 中，責任共享模型中「資料加密屬於使用者責任」此原則，以及 KMS 為靜態資料 加密（at-rest encryption）的核心，均為常見的考點。用於傳輸中加密（in-transit encryption）的 AWS Certificate Manager（ACM）的職責分工亦需一併掌握。