這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
SAA-008
希望將儲存於 S3 儲存貯體的物件,以自家管理的 KMS 金鑰(而非 AWS 受管的加密金鑰)進行加密。最為適切的加密方式為何?
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：B. SSE-KMS
解析
使用 SSE-KMS 可透過 AWS KMS 金鑰對 S3 物件進行伺服器端加密。透過使用客戶受管金鑰,可控制金鑰管理。
各選項解析
A. SSE-S3
錯誤。SSE-S3 為以 S3 管理金鑰進行的加密,不符合自家管理 KMS 金鑰的要求。
B. SSE-KMS
正確。為以 KMS 金鑰進行的伺服器端加密。
C. 於用戶端不加密直接儲存
錯誤。不加密違反需求。
D. S3 Transfer Acceleration
錯誤。Transfer Acceleration 為傳輸加速功能,並非加密方式。
實際使用情境
S3 的伺服器端加密有 SSE-S3(S3 受管金鑰)、SSE-KMS(AWS KMS 受管金鑰)、SSE-C(客戶提供金鑰)等 3 種。若希望使用自家管理的 KMS 金鑰(客戶受管 KMS 金鑰/CMK),則選擇 SSE-KMS,並於 KMS 金鑰政策中細緻地控制「哪些 IAM 主體可以進行加密/解密」。若與 CloudTrail 搭配,還可取得誰於何時使用 KMS 金鑰執行加密/解密的稽核證跡,因此適合對合規要求的業務資料保存。 SSE-KMS 也有取捨。每次對 S3 物件的存取皆會呼叫 KMS API(Decrypt / GenerateDataKey),因此在發生大量 S3 請求的工作負載中,KMS 的請求計費會累積。為抑制此情形而提供的功能為 S3 Bucket Keys,啟用後 S3 會於本地端重複使用儲存貯體單位的資料金鑰,可大幅削減對 KMS 的呼叫次數(成本最多可削減約 99% 的情況也存在)。若使用預設的 SSE-S3 或 AWS 受管的 KMS 金鑰(`aws/s3`),管理可降至最低;若希望嚴密進行金鑰輪替控制或跨帳戶共用,則選擇客戶受管 CMK。 SAA-C03 中,在「希望以自家管理的加密金鑰加密 S3」「合規要求需要 KMS 稽核」等情境下,SSE-KMS 為正解。誤答則排列出不加密、Transfer Acceleration(為傳輸加速功能,與加密無關)等。SSE-S3 與 SSE-KMS 的差異、透過 Bucket Keys 進行的成本最佳化、透過 CloudTrail 串接進行的稽核等議題,在較高階的考試也會出題。