Ein Unternehmen hat einen AWS Managed Service Provider (MSP) Partner beauftragt, bei einer Migration zu helfen. Ein Solutions Architect muss ein Amazon Machine Image (AMI) vom AWS-Konto des Unternehmens mit dem AWS-Konto des MSP-Partners teilen. Das AMI ist EBS-backed und seine EBS-Snapshots sind mit einem kundenverwalteten AWS KMS key verschlüsselt. Was ist der SICHERSTE Weg, das AMI mit dem AWS-Konto des MSP-Partners zu teilen?

Um ein verschlüsseltes AMI sicher zu teilen, müssen zwei Hauptschritte durchgeführt werden. Erstens muss die Startberechtigung (launchPermission) des AMIs geändert werden, um das AWS-Konto des MSP-Partners explizit hinzuzufügen. Dies stellt sicher, dass nur der MSP-Partner das AMI starten kann. Zweitens muss die Schlüsselrichtlinie des kundenverwalteten KMS-Schlüssels aktualisiert werden, um dem AWS-Konto des MSP-Partners die Berechtigung zur Entschlüsselung des Schlüssels zu erteilen. Ohne diese Berechtigung kann der MSP-Partner das verschlüsselte AMI nicht verwenden. Die Option, das AMI öffentlich zu machen, ist unsicher, da sie jedem den Zugriff erlaubt. Die Option, einem neuen KMS-Schlüssel des MSP-Partners zu vertrauen, ist unnötig kompliziert und nicht der direkteste Weg. Das Exportieren des AMIs nach S3 ist ebenfalls ein umständlicher und nicht der empfohlene Weg zum Teilen von AMIs zwischen Konten.