Een bedrijf heeft een AWS Managed Service Provider (MSP) Partner ingeschakeld om te helpen met een migratie. Een solutions architect moet een Amazon Machine Image (AMI) van het AWS-account van het bedrijf delen met het AWS-account van de MSP Partner. De AMI is EBS-backed en de EBS-snapshots zijn versleuteld met een door de klant beheerde AWS KMS key. Wat is de MEEST veilige manier om de AMI te delen met het AWS-account van de MSP Partner?

De meest veilige manier om een versleutelde AMI te delen, is door de launchPermission-eigenschap van de AMI te wijzigen om deze specifiek te delen met het AWS-account van de MSP Partner. Daarnaast moet het sleutelbeleid van de gebruikte KMS-sleutel worden aangepast om het AWS-account van de MSP Partner toe te staan de sleutel te gebruiken voor decryptie. Dit zorgt ervoor dat alleen het beoogde account toegang heeft tot de AMI en de onderliggende versleutelde snapshots. Het openbaar maken van de AMI en snapshots is onveilig. Het aanpassen van het sleutelbeleid om een nieuwe KMS-sleutel van de MSP Partner te vertrouwen is niet de juiste methode; de MSP Partner heeft toegang nodig tot de originele sleutel om de bestaande versleutelde snapshots te kunnen gebruiken. Het exporteren van de AMI naar S3 en vervolgens kopiëren is omslachtiger en niet de standaardprocedure voor het delen van een AMI tussen accounts.