Una empresa contrató a un socio proveedor de servicios gestionados (MSP) de AWS para que le ayudara con una migración. Un arquitecto de soluciones debe compartir una Amazon Machine Image (AMI) de la cuenta de AWS de la empresa con la cuenta de AWS del socio MSP. La AMI está respaldada por EBS y sus instantáneas de EBS están cifradas con una clave de AWS KMS administrada por el cliente. ¿Cuál es la forma MÁS segura de compartir la AMI con la cuenta de AWS del socio MSP?

La opción correcta es la más segura porque permite compartir la AMI de forma privada y controlada. Al modificar launchPermission y compartirla solo con la cuenta del MSP, se restringe el acceso. La clave de KMS administrada por el cliente (CMK) es necesaria para descifrar la AMI y sus instantáneas subyacentes. Por lo tanto, se debe modificar la política de claves de la CMK para permitir que la cuenta del MSP la use. Hacer la AMI pública es un riesgo de seguridad. Exportar la AMI a S3 e importar es un proceso más complejo y menos eficiente para compartir una AMI directamente. Modificar la política de claves para confiar en una nueva clave de KMS del MSP no es el enfoque correcto; la cuenta del MSP necesita permiso para usar la CMK existente para descifrar la AMI.