Quelle combinaison d'étapes garantira que seul le rôle d'exécution de la fonction Lambda peut accéder à un secret Secrets Manager chiffré avec KMS, en suivant les principes du moindre privilège ? (Choisissez-en deux.)

La création d'une CMK personnalisée (première option correcte) permet un contrôle granulaire des autorisations de déchiffrement. En configurant la politique de clé pour faire confiance à Secrets Manager et en accordant explicitement la permission de déchiffrer au rôle d'exécution de la fonction Lambda, on s'assure que seul ce rôle peut accéder au secret chiffré par cette CMK. La deuxième option correcte complète cela en garantissant que le rôle Lambda dispose des permissions KMS nécessaires pour déchiffrer le secret, mais uniquement pour la clé spécifique, adhérant ainsi au principe du moindre privilège. Modifier la clé KMS par défaut de Secrets Manager n'est pas possible car ces clés sont gérées par AWS. Accorder la permission de déchiffrer au principal root du compte est une violation du principe du moindre privilège, car cela donnerait un accès trop large. Supprimer toutes les permissions KMS du rôle Lambda l'empêcherait de déchiffrer le secret.