Un'azienda ha un flusso di lavoro applicativo in cui una funzione AWS Lambda scarica e decifra file da Amazon S3. I file sono crittografati con chiavi AWS Key Management Service (AWS KMS). Un architetto di soluzioni deve assicurarsi che le autorizzazioni corrette siano impostate. Quale combinazione di azioni realizza questo? (Scegliere due.)

Per consentire a una funzione Lambda di decifrare file S3 crittografati con AWS KMS, sono necessarie due azioni chiave. Innanzitutto, è fondamentale che il ruolo IAM assegnato alla funzione Lambda abbia l'autorizzazione kms:decrypt. Questo può essere fatto creando un nuovo ruolo IAM con questa autorizzazione e assegnandolo alla funzione Lambda come ruolo di esecuzione. In secondo luogo, la policy della chiave KMS stessa deve concedere l'autorizzazione decrypt al ruolo IAM della funzione Lambda. Questo garantisce che la chiave KMS permetta al ruolo specifico di eseguire l'operazione di decrittografia. L'opzione di allegare l'autorizzazione kms:decrypt alla policy delle risorse della funzione Lambda non è corretta perché le policy delle risorse Lambda controllano chi può invocare la funzione, non le autorizzazioni che la funzione stessa ha per accedere ad altri servizi AWS. Concedere l'autorizzazione decrypt per la policy delle risorse di Lambda nella policy della chiave KMS è errato perché la policy della chiave KMS deve fare riferimento a un'entità IAM (come un ruolo), non a una policy di risorse di Lambda.