Un amministratore ha creato un'istanza EC2 personalizzata con software e volumi EBS crittografati utilizzando chiavi gestite da AWS. Ha creato un'AMI da tale istanza e desidera condividerla con altri account AWS dell'azienda. La policy aziendale richiede che le AMI siano crittografate con chiavi KMS gestite dal cliente e accessibili solo agli account autorizzati. Quale processo consente di condividere in modo sicuro l'AMI soddisfacendo i requisiti?

La risposta corretta è la seconda. Per condividere in modo sicuro un'AMI crittografata con una chiave KMS gestita dal cliente (CMK) e renderla accessibile solo ad account autorizzati, è necessario creare una nuova CMK nell'account proprietario dell'AMI. La policy di questa CMK deve concedere le autorizzazioni necessarie (kms:DescribeKey, kms:ReEncrypt, kms:CreateGrant, kms:Decrypt) agli account di destinazione. Successivamente, si crea una copia dell'AMI originale, specificando la nuova CMK per la crittografia. Infine, si modificano le autorizzazioni di avvio dell'AMI copiata per includere gli ID degli account di destinazione, garantendo che solo questi possano avviarla. La prima opzione è errata perché non è possibile modificare direttamente la chiave di crittografia di un'AMI esistente senza copiarla. La terza opzione è errata perché rendere pubblica l'AMI violerebbe il requisito di accesso limitato. La quarta opzione è errata perché non è possibile modificare la policy di una chiave gestita da AWS (AWS Managed Key) per concedere autorizzazioni ad altri account.