Een build-account draait een CodePipeline die een Lambda-artifact bouwt in CodeBuild en versleutelde artifacts opslaat in een S3-bucket met behulp van de aws/s3 AWS-managed KMS key. De CloudFormation deploy actions van de pipeline draaien in afzonderlijke ontwikkel- en productieaccounts en falen met 'access denied' wanneer die acties proberen toegang te krijgen tot artifacts. Welke stappen lossen de fout op? (Kies twee.)

De foutmelding 'access denied' bij het benaderen van versleutelde artifacts in S3 duidt op een probleem met machtigingen voor de KMS-sleutel of de S3-bucket. De eerste correcte optie lost dit op door een customer-managed KMS-sleutel (CMK) te maken. In tegenstelling tot AWS-managed keys (zoals aws/s3), kunnen CMK's een key policy hebben dat expliciet de IAM-rollen in de doelaccounts machtigt om de artifacts te ontsleutelen. Dit is cruciaal voor cross-account toegang tot versleutelde data. De tweede correcte optie pakt zowel de S3-toegang als de KMS-ontsleuteling aan. Door IAM-rollen in de doelaccounts te maken met machtigingen voor CloudFormation én S3-objecten op te halen en te ontsleutelen, en vervolgens het S3-bucketbeleid bij te werken om deze rollen toegang te geven, wordt de 'access denied' opgelost. De CloudFormation-acties nemen vervolgens deze rollen aan, waardoor ze de benodigde rechten krijgen. De andere opties zijn onjuist omdat: Het kopiëren van artifacts naar afzonderlijke buckets in elk doelaccount voegt onnodige complexiteit toe en lost het onderliggende ontsleutelingsprobleem niet op als de KMS-sleutel niet correct is geconfigureerd. Een AWS-managed KMS-sleutel kan geen key policy hebben dat cross-account toegang toestaat, wat de kern van het probleem is.