Une application s'exécutant sur des instances Amazon EC2 doit récupérer des objets à partir d'un compartiment Amazon S3. Tous les objets du compartiment sont chiffrés avec une clé gérée par le client AWS Key Management Service (AWS KMS). Le VPC n'a pas d'accès à Internet et utilise un point de terminaison de VPC de passerelle pour Amazon S3. L'application ne peut pas récupérer les objets. Quels facteurs pourraient être à l'origine de ce problème ? (Choisissez-en trois.)

Pour récupérer des objets S3 chiffrés avec KMS, l'application a besoin de plusieurs autorisations. Premièrement, le profil d'instance IAM doit avoir l'autorisation s3:GetObject pour récupérer l'objet, et potentiellement s3:ListBucket pour lister le contenu du compartiment si l'application doit d'abord identifier l'objet. Deuxièmement, comme les objets sont chiffrés avec KMS, la politique de clé KMS doit autoriser l'action kms:Decrypt pour le rôle IAM des instances EC2, afin de déchiffrer les données. Enfin, étant donné l'utilisation d'un point de terminaison de passerelle S3, la politique de compartiment S3 doit explicitement autoriser l'accès depuis ce point de terminaison de VPC pour que les requêtes puissent atteindre le compartiment. L'action s3:ListParts n'est pas directement nécessaire pour récupérer des objets complets. L'action kms:ListKeys n'est pas requise pour le déchiffrement. Le groupe de sécurité des instances EC2 n'a pas besoin d'une règle entrante pour S3, car S3 est un service sortant (l'instance initie la connexion).