Una empresa tiene un flujo de trabajo de aplicación en el que una función de AWS Lambda descarga y descifra archivos de Amazon S3. Los archivos están cifrados con claves de AWS Key Management Service (AWS KMS). Un arquitecto de soluciones necesita asegurarse de que los permisos correctos estén configurados. ¿Qué combinación de acciones logra esto? (Elija dos).

Para que una función de AWS Lambda pueda descifrar objetos de S3 cifrados con KMS, necesita permisos tanto en su rol de ejecución de IAM como en la política de la clave KMS. La opción "Crear un nuevo rol de IAM con el permiso kms:decrypt y adjuntar ese rol a la función Lambda como su rol de ejecución" es correcta porque el rol de ejecución de Lambda necesita la acción kms:Decrypt para interactuar con KMS. La opción "Otorgar el permiso decrypt para el rol de IAM de Lambda en la política de la clave KMS" es correcta porque la política de la clave KMS debe permitir explícitamente que el rol de IAM de la función Lambda utilice la clave para descifrar. Las otras opciones son incorrectas: "Adjuntar el permiso kms:decrypt a la política de recursos de la función Lambda" es incorrecta porque las políticas de recursos de Lambda controlan quién puede invocar la función, no los permisos de la función para acceder a otros servicios. "Otorgar el permiso decrypt para la política de recursos de Lambda en la política de la clave KMS" es incorrecta porque la política de la clave KMS debe referenciar el rol de IAM de Lambda, no su política de recursos. "Crear una nueva política de IAM con el permiso kms:decrypt y adjuntar la política a la función Lambda" es incorrecta porque las políticas de IAM se adjuntan a roles o usuarios, no directamente a funciones Lambda. La función Lambda asume un rol de ejecución.