Le zone ospitate di Route 53 sono gestite centralmente in un account AWS condiviso. Uno sviluppatore nell'account di sviluppo necessita di un nuovo certificato TLS/SSL per un'applicazione in tale account. Qual è il modo corretto per l'amministratore SysOps di ottenere e convalidare il certificato?

La risposta corretta è "Richiedere il certificato ACM dall'account di sviluppo e fare in modo che l'account condiviso crei i record di convalida DNS nella zona ospitata in Route 53." Questo perché i certificati ACM vengono richiesti nell'account in cui verranno utilizzati. La convalida DNS richiede l'inserimento di record CNAME nella zona ospitata di Route 53, che è gestita centralmente nell'account condiviso. L'account condiviso ha l'autorità per creare questi record. Le altre opzioni sono errate: Creare una nuova chiave KMS nell'account condiviso e concedere all'utenza root dell'account di sviluppo l'accesso in lettura alla chiave: Le chiavi KMS non sono direttamente coinvolte nella convalida DNS di un certificato ACM. Richiedere il certificato ACM dall'account condiviso e creare i record di convalida DNS nella zona ospitata utilizzando Route 53 dall'account condiviso: Sebbene la convalida DNS avvenga nell'account condiviso, il certificato dovrebbe essere richiesto dall'account di sviluppo per essere utilizzato con le risorse in quell'account. Creare una chiave KMS nell'account di sviluppo, concedere all'account condiviso l'accesso in lettura a tale chiave e fare in modo che Route 53 nell'account condiviso crei un record di convalida che faccia riferimento all'ARN della chiave KMS: Anche questa opzione coinvolge KMS in modo errato; la convalida DNS non utilizza le chiavi KMS.