Qual combinação de etapas garantirá que apenas a função de execução do Lambda possa acessar um segredo do Secrets Manager criptografado com KMS, seguindo os princípios de privilégio mínimo? (Escolha duas.)

Para garantir o privilégio mínimo, você deve usar uma Chave Gerenciada pelo Cliente (CMK) no KMS. A primeira opção correta envolve criar uma CMK que confie no Secrets Manager e conceder permissão de descriptografia (decrypt) especificamente para a função de execução do Lambda, e então configurar o Secrets Manager para usar essa CMK. Isso restringe o acesso à chave apenas a entidades autorizadas. A segunda opção correta complementa a primeira, garantindo que a função de execução do Lambda tenha permissões KMS com escopo para o recurso de chave específico (incluindo descriptografia). A opção de modificar a chave KMS padrão não é ideal, pois a chave padrão é compartilhada e não oferece o mesmo nível de controle granular. Conceder permissão de descriptografia ao principal root da conta violaria o princípio do privilégio mínimo, pois daria acesso excessivo. Remover todas as permissões KMS da função Lambda impediria que ela acessasse o segredo.