Een bedrijf slaat gegevens op in een S3-bucket in een account genaamd Hub-Account. De bucket is versleuteld met een KMS-sleutel. Een QuickSight-instantie in een ander account (BI-Account) moet toegang krijgen tot die bucket. Het S3-bucketbeleid is bijgewerkt om de QuickSight-servicerol toegang te verlenen. Welke stappen moeten worden ondernomen om cross-account QuickSight-toegang tot de versleutelde S3-bucket mogelijk te maken? (Kies twee.)

Om cross-account toegang tot een met KMS versleutelde S3-bucket mogelijk te maken, moet de QuickSight-servicerol in het BI-Account expliciet gemachtigd zijn om de KMS-sleutel te gebruiken voor decryptie. Dit wordt gedaan door de KMS-sleutel als een resource toe te voegen waartoe de QuickSight-servicerol toegang heeft, meestal via een sleutelbeleid dat de ARN van de QuickSight-servicerol toestaat om de kms:Decrypt actie uit te voeren. Hoewel het S3-bucketbeleid al is bijgewerkt, is toegang tot de KMS-sleutel cruciaal voor het ontsleutelen van de objecten. Het delen van de S3-bucket via AWS RAM is niet nodig, aangezien S3-bucketbeleid al cross-account toegang kan verlenen. Het versleutelen van QuickSight-verbindingen met de bestaande KMS-sleutel is geen vereiste voor toegang tot de S3-bucket zelf.