Northwind Insurance 运营一个带有 ACM Private CA 的中心安全账户。多个 AWS 账户中的应用程序团队必须使用其各自账户中的 ACM 请求和续订私有 TLS 证书，并将其附加到 ALB，且无需手动处理 CSR。安全团队应采取哪两项措施来实现此目的？（选择两项）

要使应用程序账户能够请求和续订私有证书，首先需要使用 AWS Resource Access Manager (RAM) 共享中心安全账户中的 Private CA。这允许成员账户访问和使用该 CA。其次，必须在 Private CA 上为 ACM 服务主体 (acm.amazonaws.com) 创建一个资源策略，明确授予每个应用程序账户 (通过 SourceAccount 条件) 颁发证书的权限。这样，ACM 才能代表应用程序账户向共享的 Private CA 请求证书。 配置 Route 53 DNS 验证记录与私有证书的自动续订无关，因为私有证书的续订由 ACM 与 Private CA 交互完成。导出证书链并导入到每个应用程序账户是手动操作，不符合自动化的要求。使用 SCP 允许 acm:RequestCertificate 权限不足以让 ACM 使用共享的 Private CA 颁发证书，还需要 CA 本身的共享和权限配置。