Een bedrijf gebruikt AWS Key Management Service (AWS KMS)-sleutels om omgevingsvariabelen van AWS Lambda te versleutelen. Een solutions architect moet ervoor zorgen dat de juiste permissies aanwezig zijn, zodat de omgevingsvariabelen kunnen worden ontsleuteld en gebruikt. Welke stappen moet de solutions architect nemen om de vereiste permissies te implementeren? (Kies twee.)

Omgevingsvariabelen van Lambda worden versleuteld met AWS KMS. Om deze te ontsleutelen, heeft de Lambda-functie permissies nodig om de KMS-sleutel te gebruiken. Deze permissies worden op twee plaatsen geconfigureerd: ten eerste in de execution role van de Lambda-functie, die de permissies definieert die de functie mag uitvoeren. Ten tweede in het KMS key policy, dat bepaalt welke principals (zoals de Lambda execution role) de sleutel mogen gebruiken. Beide stappen zijn noodzakelijk: de execution role moet de actie 'kms:Decrypt' toestaan, en het KMS key policy moet de execution role toegang geven tot de sleutel. Het Lambda resource policy en function policy zijn niet de juiste plaatsen voor KMS-permissies; deze zijn voor het definiëren wie de Lambda-functie mag aanroepen of welke acties de functie mag uitvoeren op andere AWS-services dan KMS.