Una cuenta de compilación ejecuta un CodePipeline que compila un artefacto de Lambda en CodeBuild y almacena artefactos cifrados en un bucket de S3 utilizando la clave KMS administrada por AWS aws/s3. Las acciones de despliegue de CloudFormation del pipeline se ejecutan en cuentas de desarrollo y producción separadas y fallan con acceso denegado cuando esas acciones intentan acceder a los artefactos. ¿Qué pasos resuelven el error? (Elija dos).

Los artefactos están cifrados con una clave KMS administrada por AWS (aws/s3). Las claves KMS administradas por AWS no permiten la modificación de sus políticas de claves, lo que impide otorgar acceso a otras cuentas. Para resolver esto, se debe usar una clave KMS administrada por el cliente (CMK) cuya política de claves pueda configurarse para permitir que los roles de IAM en las cuentas de desarrollo y producción descifren los artefactos. Además, los roles de IAM de las acciones de CloudFormation en las cuentas de destino necesitan permisos para acceder y descifrar los artefactos del bucket S3 del pipeline. La política del bucket S3 de artefactos también debe actualizarse para permitir el acceso desde esos roles de IAM. La opción de crear un bucket S3 en cada cuenta de destino y copiar artefactos es una solución compleja e innecesaria. La opción de crear una clave KMS administrada por AWS y modificar su política es incorrecta porque las políticas de las claves administradas por AWS no se pueden modificar. La opción de crear roles de IAM en las cuentas de desarrollo y producción, pero sin actualizar la política del bucket S3, es insuficiente, ya que los roles no tendrían permiso para acceder al bucket.