¿Qué combinación de pasos asegurará que solo el rol de ejecución de la función Lambda pueda acceder a un secreto de Secrets Manager cifrado con KMS, siguiendo los principios de privilegio mínimo? (Elija dos).

Las opciones correctas garantizan el privilegio mínimo. Crear una CMK personalizada que confíe en Secrets Manager y otorgue permiso de descifrado al rol de Lambda permite un control granular. Además, asegurar que el rol de ejecución de Lambda tenga permisos de KMS con ámbito para la clave específica (incluido el descifrado) es crucial. Esto significa que el rol solo puede descifrar con esa clave específica, no con ninguna otra. La opción incorrecta de modificar la clave KMS predeterminada no es una práctica recomendada, ya que las claves predeterminadas son gestionadas por AWS y no ofrecen el mismo nivel de control. Otorgar permisos al principal root de la cuenta es un riesgo de seguridad significativo, ya que concede acceso excesivo. Eliminar todos los permisos de KMS impediría que la función Lambda acceda al secreto.