A equipe de Criação armazena imagens em um bucket S3 na conta Creative e usa uma chave AWS KMS personalizada anexada a esse bucket. A conta Strategy precisa de acesso somente leitura para visualizar objetos. Uma função IAM de conta cruzada chamada strategy_reviewer existe na conta Strategy. Quando os usuários assumem strategy_reviewer e tentam ler objetos, eles recebem Acesso Negado. Você deve conceder à conta Strategy apenas as permissões mínimas necessárias. Qual combinação de etapas você deve seguir? (Escolha três.)

Para acesso entre contas, é necessário configurar permissões tanto no recurso quanto na entidade que acessa. A política de bucket S3 deve permitir que a conta Strategy leia os objetos, especificando o ID da conta Strategy como principal, garantindo acesso controlado. A chave KMS personalizada, que criptografa os objetos, também precisa conceder permissão de descriptografia à função strategyreviewer para que ela possa acessar o conteúdo. Finalmente, a própria função strategyreviewer deve ter permissões explícitas para ler do bucket S3 e para usar a chave KMS para descriptografia. As opções incorretas falham em conceder as permissões necessárias em todas as camadas (S3, KMS e IAM) ou concedem permissões excessivas (como acesso total ao S3) ou incorretas (como permissões de criptografia em vez de descriptografia).