Une entreprise dispose d'un workflow d'application dans lequel une fonction AWS Lambda télécharge et déchiffre des fichiers depuis Amazon S3. Les fichiers sont chiffrés avec des clés AWS Key Management Service (AWS KMS). Un architecte de solutions doit s'assurer que les autorisations correctes sont définies. Quelle combinaison d'actions permet d'y parvenir ? (Choisissez-en deux.)

Pour que la fonction Lambda puisse déchiffrer les fichiers, elle a besoin de deux éléments d'autorisation : une politique d'identité (attachée au rôle d'exécution de Lambda) et une politique de clé KMS (attachée à la clé KMS elle-même). La création d'un nouveau rôle IAM avec l'autorisation kms:decrypt et l'attachement de ce rôle à la fonction Lambda en tant que rôle d'exécution (option 5) fournit la politique d'identité nécessaire. L'octroi de l'autorisation de déchiffrement pour le rôle IAM Lambda dans la politique de la clé KMS (option 2) fournit la politique de clé nécessaire, autorisant spécifiquement ce rôle à utiliser la clé KMS pour le déchiffrement. L'option 1 est incorrecte car les fonctions Lambda n'ont pas de politiques de ressources au sens où les services comme S3 ou SQS en ont. L'option 3 est incorrecte pour la même raison. L'option 4 est incomplète car elle ne mentionne pas l'attachement de la politique à un rôle d'exécution, et même si elle le faisait, la politique de clé KMS serait toujours nécessaire.