Northwind Insurance betreibt ein zentrales Sicherheitskonto mit einer privaten ACM CA. Anwendungsteams in mehreren AWS-Konten müssen private TLS-Zertifikate über ACM in ihren eigenen Konten anfordern und erneuern und diese an ALBs anhängen, ohne manuelle CSR-Bearbeitung. Welche ZWEI Maßnahmen sollte das Sicherheitsteam ergreifen, um dies zu ermöglichen? (Wählen Sie zwei.)

Um eine private ACM CA kontoübergreifend zu nutzen, ist das Teilen der CA über AWS Resource Access Manager (RAM) der erste Schritt. Dies ermöglicht es den Anwendungskonten, die CA zu sehen und darauf zuzugreifen. Der zweite notwendige Schritt ist das Erstellen einer Berechtigung (Policy) auf der privaten CA, die dem ACM-Service-Principal (acm.amazonaws.com) die Ausstellung von Zertifikaten erlaubt. Dabei muss SourceAccount auf die IDs der Anwendungskonten gesetzt werden, um die Berechtigung auf diese spezifischen Konten zu beschränken. Die Konfiguration von Route 53 DNS-Validierungsdatensätzen ist für private Zertifikate nicht relevant, da diese nicht öffentlich validiert werden. Das Exportieren und Importieren der Zertifikatskette würde die CA nicht für die Ausstellung nutzbar machen. AWS Organizations SCPs können zwar Berechtigungen steuern, aber sie ersetzen nicht die Notwendigkeit, die CA selbst zu teilen und die entsprechenden Berechtigungen auf der CA zu konfigurieren.