Ein Administrator hat eine benutzerdefinierte EC2-Instance mit Software und verschlüsselten EBS-Volumes unter Verwendung von AWS-verwalteten Schlüsseln erstellt. Er hat ein AMI von dieser Instance erstellt und möchte dieses AMI für andere AWS-Konten des Unternehmens freigeben. Die Unternehmensrichtlinie verlangt, dass AMIs mit kundenverwalteten KMS-Schlüsseln verschlüsselt und nur für autorisierte Konten zugänglich sind. Welcher Prozess gibt das AMI sicher frei und erfüllt dabei die Anforderung?

Die korrekte Antwort ist, einen kundenverwalteten KMS-Schlüssel (CMK) im AMI-Konto zu erstellen, dessen Schlüsselrichtlinie zu aktualisieren, um den Empfängerkonten die erforderlichen KMS-Berechtigungen zu erteilen, eine Kopie des AMI mit diesem neuen CMK zu erstellen und dann die Startberechtigungen des kopierten AMI auf die Zielkonto-IDs festzulegen. Dies erfüllt die Anforderung, dass das AMI mit einem kundenverwalteten Schlüssel verschlüsselt ist und nur für autorisierte Konten zugänglich ist. Die erste Option ist falsch, da das ursprüngliche AMI mit einem AWS-verwalteten Schlüssel verschlüsselt ist. Um die Richtlinie zu erfüllen, muss das AMI mit einem kundenverwalteten Schlüssel verschlüsselt werden, was eine Kopie des AMI erfordert. Die dritte Option ist falsch, da das kopierte AMI öffentlich gemacht wird, was gegen die Anforderung verstößt, dass es nur für autorisierte Konten zugänglich ist. Die vierte Option ist falsch, da sie versucht, die Schlüsselrichtlinie eines AWS-verwalteten Schlüssels zu aktualisieren, was nicht möglich ist. AWS-verwaltete Schlüssel können nicht direkt von Kunden geändert werden.