Un compte de build exécute un CodePipeline qui construit un artefact Lambda dans CodeBuild et stocke les artefacts chiffrés dans un compartiment S3 à l'aide de la clé KMS gérée par AWS aws/s3. Les actions de déploiement CloudFormation du pipeline s'exécutent dans des comptes de développement et de production distincts et échouent avec un message d'accès refusé lorsque ces actions tentent d'accéder aux artefacts. Quelles étapes résolvent l'erreur ? (Choisissez deux.)

La première réponse correcte est de créer une clé KMS gérée par le client (CMK) et de configurer sa politique de clé pour autoriser les rôles IAM des comptes de développement et de production à déchiffrer. La clé aws/s3 est une clé gérée par AWS et sa politique ne peut pas être modifiée pour accorder un accès inter-comptes. Une CMK offre le contrôle nécessaire. La deuxième réponse correcte est de créer des rôles IAM dans les comptes cibles avec les autorisations nécessaires pour CloudFormation et pour déchiffrer les artefacts S3, puis de configurer la politique du compartiment S3 des artefacts pour accorder l'accès à ces rôles. Enfin, les actions CloudFormation du pipeline doivent être configurées pour assumer ces rôles. Cela permet un accès sécurisé et délégué aux artefacts. Les options incorrectes ne résolvent pas le problème d'accès inter-comptes ou de déchiffrement. Créer des compartiments S3 dans chaque compte cible et copier les artefacts ajoute de la complexité inutile. Modifier une clé KMS gérée par AWS n'est pas possible. Les rôles IAM pour CodePipeline sans mise à jour de la politique du compartiment S3 ou sans utilisation d'une CMK ne permettront pas le déchiffrement.