Nordic Bioは、アカウントAでLambda関数を実行していますが、この関数はアカウントBのKMSキーを使用してデータを暗号化する必要があります。プラットフォームの制約により、Lambdaコードは別のアカウントのロールを引き受けることができません。コードを変更せずにこのクロスアカウント暗号化を有効にするために、セキュリティチームは何をすべきですか？

正解は、KMSキーポリシーを更新して、アカウントAのLambda実行ロールにアカウントBのKMSキーへのアクセスを許可することです。KMSキーポリシーは、キーへのアクセスを制御する主要なメカニズムであり、クロスアカウントアクセスを許可するために使用できます。アカウントAのロールが、このキーポリシーによって許可されたアクション（kms:Encrypt、kms:GenerateDataKeyなど）を実行できることを確認する必要があります。 インターフェースVPCエンドポイントは、プライベート接続を提供しますが、アクセス許可自体は付与しません。信頼ポリシーはIAMロールに適用され、KMSキーには適用されません。AWS Resource Access Manager (RAM) は、リソースを共有するために使用されますが、KMSキーはRAMで共有できるリソースタイプではありません。