Cifrado en reposo con AWS KMS: claves administradas por AWS vs por el cliente, key policies, envelope encryption y S3 SSE-S3, SSE-KMS y SSE-C

AWS Key Management Service (KMS) crea y controla las claves que se usan para cifrar datos en reposo en servicios de AWS como S3, EBS, RDS, DynamoDB y Secrets Manager. El material de las claves de KMS nunca sale del servicio sin cifrar; KMS realiza las operaciones criptográficas dentro de módulos de seguridad de hardware (HSMs) validados, y cada uso de una clave queda registrado en AWS CloudTrail. El examen espera que sepas qué tipo de clave elegir, cómo se controla el acceso a las claves y qué opción de cifrado de S3 se ajusta a un requisito.