Nordic Bio führt eine Lambda-Funktion in Konto A aus, die Daten mit einem KMS-Schlüssel in Konto B verschlüsseln muss. Aufgrund von Plattformbeschränkungen kann der Lambda-Code keine Rolle in einem anderen Konto übernehmen. Was sollte das Sicherheitsteam tun, um diese kontoübergreifende Verschlüsselung ohne Codeänderungen zu ermöglichen?

Die Aktualisierung der KMS-Schlüsselrichtlinie in Konto B, um der Ausführungsrolle aus Konto A die Berechtigungen kms:Encrypt und kms:GenerateDataKey zu erteilen, ist die korrekte Methode für die kontoübergreifende Verschlüsselung ohne Codeänderungen. Zusätzlich muss die Rolle in Konto A diese Berechtigungen in ihrer eigenen IAM-Richtlinie besitzen. KMS-Schlüsselrichtlinien steuern den Zugriff auf den Schlüssel und ermöglichen es, Prinzipalen aus anderen Konten den Zugriff zu gewähren. Das Erstellen eines Interface-VPC-Endpunkts für KMS in Konto B und das Hinzufügen einer Endpunktrichtlinie für Konto A würde die Netzwerkverbindung erleichtern, aber nicht die Berechtigungen für den Zugriff auf den KMS-Schlüssel selbst regeln. Eine Vertrauensstellung wird für IAM-Rollen verwendet, nicht direkt für KMS-Schlüssel, um den Aufruf von kms:Encrypt zu ermöglichen. Das Teilen des KMS-Schlüssels über AWS Resource Access Manager (RAM) ist für den Zugriff auf bestimmte Ressourcentypen (z.B. Subnetze, Transit Gateways) gedacht, aber nicht die primäre Methode, um den Zugriff auf KMS-Schlüssel kontoübergreifend zu steuern.