Una empresa utiliza AWS Organizations. La unidad organizativa (OU) de seguridad necesita compartir Amazon Machine Images (AMI) aprobadas con la OU de desarrollo. Las AMI se crean a partir de instantáneas cifradas con AWS KMS. ¿Qué soluciones cumplen estos requisitos? (Elija dos)

Las AMI cifradas requieren dos permisos para ser compartidas: permiso de lanzamiento para la AMI y permiso para la clave KMS utilizada para cifrarla. La opción correcta "Agregue el Amazon Resource Name (ARN) de la OU del equipo de desarrollo a la lista de permisos de lanzamiento para las AMI" permite que todas las cuentas dentro de la OU de desarrollo lancen la AMI. La opción correcta "Actualice la política de claves de AWS KMS para permitir que la OU del equipo de desarrollo use las claves de AWS KMS que descifran las instantáneas" otorga a las cuentas de desarrollo el permiso necesario para descifrar la AMI. Las opciones incorrectas son: "Agregue el Amazon Resource Name (ARN) raíz de Organizations a la lista de permisos de lanzamiento para las AMI" es demasiado permisivo, ya que otorgaría acceso a todas las cuentas de la organización, no solo a la OU de desarrollo. "Agregue el Amazon Resource Name (ARN) de la cuenta del equipo de desarrollo a la lista de permisos de lanzamiento para las AMI" es menos eficiente, ya que requeriría agregar cada cuenta individualmente en lugar de la OU. "Vuelva a crear la clave de AWS KMS y agregue una política de claves que permita que el Amazon Resource Name (ARN) raíz de Organizations use la clave de AWS KMS" es una acción innecesaria y demasiado amplia, ya que la clave existente puede modificarse y el ARN raíz es demasiado permisivo.