Eine Anwendung, die auf Amazon EC2-Instances läuft, muss Objekte aus einem Amazon S3-Bucket abrufen. Alle Objekte im Bucket sind mit einem vom Kunden verwalteten AWS Key Management Service (AWS KMS)-Schlüssel verschlüsselt. Die VPC hat keinen Internetzugang und verwendet einen Gateway-VPC-Endpunkt für Amazon S3. Die Anwendung kann keine Objekte abrufen. Welche Faktoren könnten dieses Problem verursachen? (Wählen Sie drei.)

Die Anwendung benötigt s3:GetObject (oder eine allgemeinere Berechtigung wie s3: oder s3:ListBucket wenn es um das Auflisten von Objekten geht, was oft ein Vorläufer zum Abrufen ist) im IAM-Instance-Profil, um Objekte abrufen zu können. Wenn s3:ListBucket fehlt, kann die Anwendung möglicherweise keine Objekte auflisten oder abrufen. Da die Objekte mit KMS verschlüsselt sind, muss die KMS-Schlüsselrichtlinie die kms:Decrypt-Aktion für das EC2-Instance-Profil zulassen, damit die Anwendung die Objekte entschlüsseln kann. Schließlich muss die S3-Bucket-Richtlinie den Zugriff über den Gateway-VPC-Endpunkt explizit erlauben, da dies der einzige Weg ist, wie die EC2-Instanzen ohne Internetzugang auf S3 zugreifen können. s3:ListParts ist für das Abrufen ganzer Objekte nicht direkt relevant. kms:ListKeys ist nicht erforderlich, um Objekte zu entschlüsseln. Sicherheitsgruppen steuern den Netzwerkverkehr, aber ein Gateway-VPC-Endpunkt für S3 erfordert keine eingehenden Regeln auf Port 443, da der Endpunkt den Zugriff auf S3 abstrahiert.