某公司有一个应用程序工作流，其中一个 AWS Lambda 函数从 Amazon S3 下载并解密文件。这些文件使用 AWS Key Management Service (AWS KMS) 密钥进行加密。解决方案架构师需要确保设置了正确的权限。以下哪种操作组合可以实现此目的？（选择两项）

要使 Lambda 函数能够解密 KMS 加密的文件，需要授予它 kms:decrypt 权限。一个有效的方法是创建一个新的 IAM 角色，包含 kms:decrypt 权限，并将其作为 Lambda 函数的执行角色。同时，KMS 密钥策略也必须明确允许该 Lambda IAM 角色执行解密操作。 选项一错误，Lambda 函数没有资源策略，只有执行角色。选项三错误，KMS 密钥策略授权给 IAM 实体（用户、角色），而不是 Lambda 的资源策略。选项四错误，仅创建 IAM 策略是不够的，还需要将其附加到 Lambda 函数的执行角色。