Quale combinazione di passaggi garantirà che solo il ruolo di esecuzione della funzione Lambda possa accedere a un segreto di Secrets Manager crittografato con KMS, seguendo i principi del privilegio minimo? (Scegli due.)

Per garantire il privilegio minimo, è fondamentale che solo il ruolo di esecuzione della funzione Lambda possa decifrare il segreto. Creare una chiave KMS gestita dal cliente (CMK) e configurarla per fidarsi di Secrets Manager, concedendo al contempo l'autorizzazione di decrittografia solo al ruolo Lambda, garantisce che nessun altro ruolo possa decifrare il segreto tramite questa chiave. Inoltre, è essenziale che il ruolo di esecuzione della funzione Lambda abbia autorizzazioni KMS esplicite e limitate per decifrare con quella specifica CMK. Modificare la chiave KMS predefinita non è l'approccio migliore perché la chiave predefinita è ampiamente utilizzata e modificarne le policy potrebbe avere effetti collaterali indesiderati su altri servizi. Concedere l'autorizzazione di decrittografia al principal root dell'account violerebbe il principio del privilegio minimo, poiché darebbe a troppe entità la capacità di decifrare il segreto. Rimuovere tutte le autorizzazioni KMS dal ruolo Lambda impedirebbe alla funzione di accedere al segreto, rendendola inutilizzabile.