Uma empresa armazena dados em um bucket S3 em uma conta chamada Hub-Account. O bucket é criptografado usando uma chave KMS. Uma instância do QuickSight em outra conta (BI-Account) deve acessar esse bucket. A política do bucket S3 foi atualizada para conceder acesso à função de serviço do QuickSight. Quais etapas devem ser tomadas para habilitar o acesso cross-account do QuickSight ao bucket S3 criptografado? (Escolha duas.)

Para acesso cross-account a um bucket S3 criptografado com KMS, a função de serviço do QuickSight na BI-Account precisa de permissão para usar a chave KMS na Hub-Account. A opção "Adicione a chave KMS como um recurso que a função de serviço do QuickSight pode acessar" é crucial porque a política de chave KMS (Key Policy) deve permitir que a função do QuickSight realize operações de descriptografia. A opção "Anexe uma política do IAM à função de serviço do QuickSight que lhe conceda acesso à chave KMS que criptografa o bucket S3" também é necessária, pois a função do QuickSight precisa de uma política de identidade (IAM Policy) que a autorize a acessar a chave KMS. A opção "Use a chave KMS existente para criptografar as conexões do serviço QuickSight com o bucket S3" está incorreta porque a chave KMS é para criptografia de dados no S3, não para criptografar conexões. A opção "Adicione o bucket S3 como um recurso que a função de serviço do QuickSight pode acessar" é parcialmente correta, pois a política do bucket já foi atualizada, mas não aborda a criptografia KMS. A opção "Compartilhe o bucket S3 com a BI-Account usando o AWS Resource Access Manager (AWS RAM)" está incorreta, pois o AWS RAM é usado para compartilhar recursos como sub-redes e grupos de segurança, não buckets S3 diretamente para acesso de serviço como o QuickSight, e não resolve a questão da chave KMS.