Une entreprise de soins de santé développe une fonction AWS Lambda qui publie des notifications contenant des informations de santé protégées (PHI) sur une rubrique Amazon SNS chiffrée. La rubrique SNS utilise des clés gérées par le client AWS KMS pour le chiffrement. L'entreprise doit s'assurer que l'application dispose des autorisations nécessaires pour publier des messages en toute sécurité sur la rubrique SNS. Quelle combinaison d'étapes répondra à ces exigences ? (Choisissez trois.)

Pour permettre à la fonction Lambda de publier des messages sur la rubrique SNS, il faut une politique de ressources SNS autorisant la fonction. De plus, comme la rubrique SNS est chiffrée avec une clé KMS gérée par le client, la fonction Lambda a besoin d'autorisations pour utiliser cette clé. Cela se fait en configurant le rôle d'exécution Lambda avec les autorisations IAM nécessaires pour l'action kms:Decrypt et kms:GenerateDataKey (ou kms:Encrypt si le message est chiffré avant d'être envoyé à SNS) sur la clé KMS, et en ajoutant une politique de clé KMS qui autorise le rôle d'exécution Lambda à utiliser la clé. Les options incorrectes sont : Utiliser SSE-KMS au lieu de clés gérées par le client ne répond pas à l'exigence de la question d'utiliser des clés gérées par le client. Spécifier l'ARN de la fonction Lambda dans la politique de ressources SNS est une partie de la première étape correcte, mais n'est pas une étape complète en soi. Associer une API HTTP API Gateway n'est pas pertinent pour les autorisations de publication de Lambda sur SNS.