한 회사에 AWS Lambda 함수가 Amazon S3에서 파일을 다운로드하고 암호를 해독하는 애플리케이션 워크플로가 있습니다. 파일은 AWS Key Management Service(AWS KMS) 키로 암호화됩니다. 솔루션스 아키텍트는 올바른 권한이 설정되었는지 확인해야 합니다. 이 작업을 수행하는 작업 조합은 무엇입니까? (두 가지 선택)

Lambda 함수가 KMS로 암호화된 S3 파일을 해독하려면 두 가지 주요 권한 구성이 필요합니다. 첫째, Lambda 함수는 kms:decrypt 권한이 있는 IAM 역할을 가정해야 합니다. 이는 함수가 KMS 서비스에 암호 해독 요청을 할 수 있도록 허용합니다. 둘째, KMS 키의 키 정책은 해당 Lambda IAM 역할에 kms:decrypt 작업을 수행할 수 있는 권한을 명시적으로 부여해야 합니다. 이는 키 사용에 대한 최종 제어 계층을 제공합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다: Lambda 함수의 리소스 정책에 kms:decrypt 권한을 연결하는 것은 Lambda 함수 자체의 호출 권한을 제어하며, KMS 키 사용 권한과는 관련이 없습니다. KMS 키의 정책에서 Lambda 리소스 정책에 대한 권한을 부여하는 것은 올바른 주체(principal)가 아닙니다. KMS 키 정책은 IAM 역할 또는 사용자에게 권한을 부여해야 합니다. kms:decrypt 권한으로 새 IAM 정책을 생성하고 해당 정책을 Lambda 함수에 직접 연결하는 것은 불가능합니다. Lambda 함수는 IAM 역할과 연결되며, 정책은 역할에 연결됩니다.