Uma empresa contratou um parceiro AWS Managed Service Provider (MSP) para auxiliar em uma migração. Um arquiteto de soluções deve compartilhar uma Amazon Machine Image (AMI) da conta AWS da empresa com a conta AWS do parceiro MSP. A AMI é baseada em EBS e seus snapshots EBS são criptografados com uma chave AWS KMS gerenciada pelo cliente. Qual é a maneira MAIS segura de compartilhar a AMI com a conta AWS do parceiro MSP?

A maneira mais segura é modificar a launchPermission da AMI para compartilhá-la especificamente com a conta AWS do parceiro MSP. Além disso, como a AMI é criptografada com uma chave KMS gerenciada pelo cliente, a política dessa chave KMS deve ser modificada para permitir que a conta do parceiro MSP a utilize para descriptografar e lançar instâncias a partir da AMI. Tornar a AMI e os snapshots publicamente disponíveis não é seguro, pois expõe o recurso a qualquer pessoa. Exportar a AMI para um bucket S3 e criptografá-lo com uma nova chave KMS do parceiro MSP é um processo desnecessariamente complexo e não é a forma padrão de compartilhar AMIs. Modificar a política de chaves para confiar em uma nova chave KMS do parceiro MSP não é o procedimento correto; a chave original deve ser compartilhada.