Um administrador criou uma instância EC2 personalizada com software e volumes EBS criptografados usando chaves gerenciadas pela AWS. Ele criou uma AMI a partir dessa instância e deseja compartilhar essa AMI com outras contas AWS da empresa. A política da empresa exige que as AMIs sejam criptografadas com chaves KMS gerenciadas pelo cliente e acessíveis apenas a contas autorizadas. Qual processo compartilha a AMI com segurança, atendendo ao requisito?

A resposta correta é a única que atende a todos os requisitos: usar uma chave KMS gerenciada pelo cliente (CMK) e compartilhar a AMI de forma segura. Ao copiar a AMI e especificar uma CMK, a nova AMI e seus snapshots subjacentes serão criptografados com essa CMK. A política da CMK deve conceder as permissões necessárias (kms:DescribeKey, kms:ReEncrypt, kms:CreateGrant, kms:Decrypt) às contas de destino para que elas possam descriptografar e usar a AMI. Finalmente, as permissões de lançamento da AMI copiada são definidas para as contas de destino, garantindo que apenas as contas autorizadas possam usá-la. As outras opções estão incorretas porque: A primeira opção não cria uma cópia da AMI com a CMK, o que é necessário para alterar a chave de criptografia. A terceira opção torna a AMI pública, o que viola o requisito de acessibilidade apenas a contas autorizadas. A quarta opção tenta usar a chave gerenciada pela AWS, o que viola o requisito de usar uma CMK.