Un'azienda ha ingaggiato un partner AWS Managed Service Provider (MSP) per assisterla nella migrazione. Un architetto di soluzioni deve condividere un'Amazon Machine Image (AMI) dall'account AWS dell'azienda con l'account AWS del partner MSP. L'AMI è basata su EBS e i suoi snapshot EBS sono crittografati con una chiave AWS KMS gestita dal cliente. Qual è il modo PIÙ sicuro per condividere l'AMI con l'account AWS del partner MSP?

Per condividere un'AMI crittografata con un altro account in modo sicuro, è necessario modificare le autorizzazioni di avvio (launchPermission) dell'AMI per consentire l'accesso solo all'account del partner MSP. Inoltre, poiché l'AMI è crittografata con una chiave KMS gestita dal cliente, la policy di questa chiave deve essere aggiornata per concedere all'account del partner MSP le autorizzazioni necessarie per decrittografare e utilizzare la chiave. Questo garantisce che solo l'account autorizzato possa avviare istanze dall'AMI. Rendere l'AMI pubblica è insicuro. Modificare la policy della chiave per considerare attendibile una nuova chiave KMS di proprietà del partner MSP non è il meccanismo corretto per la condivisione di chiavi esistenti. Esportare l'AMI in S3 e poi reimportarla è un processo più complesso e meno efficiente rispetto alla condivisione diretta tramite le autorizzazioni AMI e KMS.