Nordic Bio esegue una funzione Lambda nell'Account A che deve crittografare i dati utilizzando una chiave KMS nell'Account B. A causa di vincoli della piattaforma, il codice Lambda non può assumere un ruolo in un altro account. Cosa dovrebbe fare il team di sicurezza per abilitare questa crittografia cross-account senza modifiche al codice?

L'opzione corretta abilita la crittografia cross-account senza modifiche al codice Lambda. La policy della chiave KMS nell'Account B deve concedere esplicitamente le autorizzazioni (come kms:Encrypt e kms:GenerateDataKey) al ruolo di esecuzione Lambda dell'Account A. Contemporaneamente, il ruolo Lambda nell'Account A deve avere una policy IAM che gli consenta di chiamare queste operazioni sulla chiave KMS specificata nell'Account B. Questa configurazione a due livelli (policy della chiave e policy IAM del ruolo) è il meccanismo standard per l'accesso cross-account a KMS. Le altre opzioni sono errate: Creare un endpoint VPC di interfaccia per KMS nell'Account B non risolve il problema delle autorizzazioni cross-account; facilita solo la connettività privata. Le chiavi KMS non hanno una "relazione di trust" come i ruoli IAM. Le autorizzazioni sono gestite tramite la policy della chiave. AWS Resource Access Manager (RAM) non è utilizzato per condividere chiavi KMS; è per la condivisione di risorse come sottoreti, gruppi di risorse e licenze.