Une entreprise stocke des données dans un compartiment S3 dans un compte nommé Hub-Account. Le compartiment est chiffré à l'aide d'une clé KMS. Une instance QuickSight dans un autre compte (BI-Account) doit accéder à ce compartiment. La politique de compartiment S3 a été mise à jour pour accorder l'accès au rôle de service QuickSight. Quelles étapes doivent être prises pour permettre l'accès QuickSight inter-comptes au compartiment S3 chiffré ? (Choisissez-en deux.)

Pour permettre à QuickSight d'accéder à un compartiment S3 chiffré par KMS dans un autre compte, deux étapes sont cruciales. Premièrement, la politique de clé KMS doit être mise à jour pour accorder des autorisations kms:Decrypt au rôle IAM de QuickSight dans le BI-Account. Sans cette permission, QuickSight ne pourra pas déchiffrer les objets. Deuxièmement, le compartiment S3 doit être ajouté en tant que ressource accessible par le rôle de service QuickSight. Bien que la politique de compartiment S3 ait déjà été mise à jour, il est essentiel de s'assurer que le rôle QuickSight est explicitement autorisé à accéder au compartiment lui-même. Les autres options sont incorrectes. Utiliser la clé KMS existante pour chiffrer les connexions QuickSight n'est pas la bonne approche ; la clé est utilisée pour le chiffrement des données au repos. Partager le compartiment via AWS RAM n'est pas nécessaire pour cet usage spécifique, car les politiques de compartiment et de clé KMS suffisent. Attacher une politique IAM au rôle de service QuickSight est une partie de la solution, mais l'action spécifique est d'ajouter la clé KMS comme ressource accessible, ce qui implique la modification de la politique de clé KMS.