Welche Kombination von Schritten stellt sicher, dass nur die Ausführungsrolle der Lambda-Funktion auf ein mit KMS verschlüsseltes Secrets Manager-Secret zugreifen kann, unter Einhaltung des Prinzips der geringsten Rechte? (Wählen Sie zwei.)

Um das Prinzip der geringsten Rechte einzuhalten, müssen sowohl der KMS-Schlüssel als auch die Lambda-Ausführungsrolle korrekt konfiguriert werden. Zuerst muss ein kundenverwalteter KMS-Schlüssel (CMK) erstellt werden. Dieser CMK muss Secrets Manager vertrauen (über seine Schlüsselrichtlinie), damit Secrets Manager ihn zum Verschlüsseln des Secrets verwenden kann. Gleichzeitig muss die Schlüsselrichtlinie des CMK der Ausführungsrolle der Lambda-Funktion explizit die kms:Decrypt-Berechtigung erteilen. Zweitens muss die IAM-Richtlinie der Lambda-Ausführungsrolle die kms:Decrypt-Berechtigung für den spezifischen CMK enthalten, der das Secret verschlüsselt. Die Option, den standardmäßigen KMS-Schlüssel zu ändern, ist falsch, da standardmäßige AWS-Schlüssel nicht direkt geändert werden können. Das Erteilen der Entschlüsselungsberechtigung an den Konto-Root-Principal ist zu weit gefasst und verletzt das Prinzip der geringsten Rechte. Das Entfernen aller KMS-Berechtigungen aus der Lambda-Rolle würde verhindern, dass die Funktion das Secret entschlüsseln kann.