Las zonas alojadas de Route 53 se gestionan de forma centralizada en una cuenta de AWS compartida. Un desarrollador en la cuenta de desarrollo necesita un nuevo certificado TLS/SSL para una aplicación en esa cuenta. ¿Cuál es la forma correcta para que el administrador de SysOps obtenga y valide el certificado?

La opción correcta es solicitar el certificado ACM desde la cuenta de desarrollo y que la cuenta compartida cree los registros de validación de DNS. Esto se debe a que ACM es un servicio regional y los certificados se emiten en la cuenta donde se solicitan. La validación de DNS, sin embargo, requiere acceso a la zona alojada de Route 53, que está centralizada en la cuenta compartida. Por lo tanto, la cuenta compartida debe crear los registros CNAME necesarios para la validación. Las otras opciones son incorrectas: Crear una nueva clave KMS en la cuenta compartida y otorgar acceso de lectura a la cuenta de desarrollo no es relevante para la validación de certificados ACM. Solicitar el certificado ACM desde la cuenta compartida no es ideal porque el certificado estaría en la cuenta equivocada y no en la cuenta de desarrollo donde se necesita. Crear una clave KMS en la cuenta de desarrollo y otorgar acceso a la cuenta compartida tampoco es relevante para la validación de certificados ACM.