ある企業がAWS Organizationsを使用しています。セキュリティ組織単位 (OU) は、承認されたAmazon Machine Image (AMI) を開発OUと共有する必要があります。AMIはAWS KMSで暗号化されたスナップショットから作成されます。これらの要件を満たすソリューションはどれですか？（2つ選択してください。）

開発OUとAMIを共有するには、AMIの起動許可リストに開発チームのOUのARNを追加する必要があります。これにより、OU内のすべてのアカウントがAMIを使用できるようになります。AMIがKMS暗号化スナップショットから作成されているため、開発OUがスナップショットを復号化できるように、KMSキーポリシーを更新して、開発チームのOUにキーの使用許可を与える必要があります。 OrganizationsルートのARNをAMIの起動許可リストに追加すると、組織内のすべてのアカウントがAMIを使用できるようになり、セキュリティ要件に反する可能性があります。開発チームのアカウントのARNを個別にAMIの起動許可リストに追加することも可能ですが、OU全体で共有する方が管理が容易です。KMSキーを再作成する必要はなく、既存のキーポリシーを更新するだけで十分です。