Un'azienda utilizza AWS Organizations. L'unità organizzativa (OU) di sicurezza deve condividere Amazon Machine Image (AMI) approvate con l'OU di sviluppo. Le AMI vengono create da snapshot crittografati con AWS KMS. Quali soluzioni soddisfano questi requisiti? (Scegliere due.)

Per condividere AMI crittografate, sono necessari due passaggi. Primo, l'AMI deve essere resa avviabile per gli account di destinazione. L'opzione "Aggiungere l'Amazon Resource Name (ARN) dell'OU del team di sviluppo all'elenco delle autorizzazioni di avvio per le AMI" è corretta perché consente a tutti gli account nell'OU di sviluppo di avviare l'AMI. Secondo, gli account di destinazione devono avere il permesso di utilizzare la chiave KMS che ha crittografato lo snapshot sottostante. L'opzione "Aggiornare la policy della chiave AWS KMS per consentire all'OU del team di sviluppo di utilizzare le chiavi AWS KMS che decrittografano gli snapshot" è corretta perché concede le autorizzazioni KMS necessarie. Le altre opzioni sono errate: Aggiungere l'ARN root di Organizations all'elenco delle autorizzazioni di avvio non è sufficiente, poiché non specifica l'OU di sviluppo. Aggiungere l'ARN dell'account del team di sviluppo è troppo restrittivo se ci sono più account nell'OU di sviluppo. Ricreare la chiave KMS è un'operazione non necessaria e complessa; è sufficiente aggiornare la policy esistente.