Route 53 托管区域在共享 AWS 账户中进行集中管理。开发账户中的开发人员需要为其在该账户中的应用程序申请新的 TLS/SSL 证书。SysOps 管理员获取和验证证书的正确方法是什么？

正确的做法是从开发账户请求 ACM 证书。ACM 证书是区域性的，并且与请求它的账户关联。然后，共享账户中的 SysOps 管理员可以在 Route 53 托管区域中创建 DNS 验证记录。这是因为 Route 53 托管区域集中在共享账户中管理，因此只有该账户有权创建或修改其中的记录。 其他选项不正确的原因： 在共享账户中创建 KMS 密钥并授予根主体访问权限与证书验证无关。ACM 证书验证通常通过 DNS 或电子邮件进行。 从共享账户请求 ACM 证书会导致证书与共享账户关联，而不是开发账户，这不符合开发人员在开发账户中使用的需求。 在开发账户中创建 KMS 密钥并让共享账户的 Route 53 引用它，这与 DNS 验证过程无关，KMS 用于加密，而不是证书验证。