Een beheerder heeft een aangepaste EC2-instantie gemaakt met software en versleutelde EBS-volumes met behulp van AWS-beheerde sleutels. Ze hebben een AMI gemaakt van die instantie en willen die AMI delen met andere AWS-accounts van het bedrijf. Het bedrijfsbeleid vereist dat AMI's worden versleuteld met door KMS-klanten beheerde sleutels en alleen toegankelijk zijn voor geautoriseerde accounts. Welk proces deelt de AMI veilig en voldoet tegelijkertijd aan de vereiste?

De correcte optie beschrijft de juiste procedure voor het delen van een versleutelde AMI met een door de klant beheerde sleutel (CMK). Wanneer een AMI versleuteld is met een AWS-beheerde sleutel, kan deze niet direct worden gedeeld met andere accounts. U moet een kopie maken van de AMI en deze versleutelen met een CMK die u beheert. Het sleutelbeleid van de CMK moet de benodigde KMS-machtigingen (kms:DescribeKey, kms:ReEncrypt, kms:CreateGrant, kms:Decrypt) verlenen aan de ontvangende accounts. Ten slotte stelt u de opstartmachtigingen van de gekopieerde AMI in op de specifieke doelaccount-ID's, zodat alleen geautoriseerde accounts toegang hebben. De eerste optie is onjuist omdat u een kopie van de AMI moet maken en deze opnieuw moet versleutelen met de CMK; u kunt niet zomaar de opstartmachtigingen van de originele AMI wijzigen als deze is versleuteld met een AWS-beheerde sleutel. De derde optie is onjuist omdat het openbaar maken van de AMI in strijd is met het bedrijfsbeleid dat alleen geautoriseerde accounts toegang mogen hebben. De vierde optie is onjuist omdat u het sleutelbeleid van een AWS-beheerde sleutel niet kunt wijzigen om toegang te verlenen aan andere accounts; u moet een CMK gebruiken.