Een zorgbedrijf ontwikkelt een AWS Lambda-functie die meldingen met beschermde gezondheidsinformatie (PHI) publiceert naar een versleuteld Amazon SNS-onderwerp. Het SNS-onderwerp gebruikt AWS KMS customer managed keys voor versleuteling. Het bedrijf moet ervoor zorgen dat de applicatie de nodige permissies heeft om berichten veilig naar het SNS-onderwerp te publiceren. Welke combinatie van stappen voldoet aan deze vereisten? (Kies drie.)

Om veilig berichten te publiceren naar een versleuteld SNS-onderwerp met een customer managed key (CMK), zijn drie stappen essentieel. Ten eerste moet het Lambda execution role de benodigde IAM-permissies hebben om de CMK te gebruiken voor encryptie en decryptie (bijvoorbeeld kms:GenerateDataKey en kms:Decrypt). Ten tweede is een resource policy op de KMS CMK vereist die het SNS-onderwerp toestaat de sleutel te gebruiken. Ten slotte moet een resource policy op het SNS-onderwerp de Lambda-functie toestaan berichten te publiceren naar dat specifieke onderwerp (sns:Publish). Het gebruik van SSE-KMS in plaats van CMK's voldoet niet aan de vereiste om customer managed keys te gebruiken. Het specificeren van de ARN van de Lambda-functie in het SNS resource policy is een onderdeel van de correcte stap om de Lambda-functie te autoriseren, maar is op zichzelf geen complete stap. Het koppelen van een API Gateway aan het SNS-onderwerp is irrelevant voor de permissies van de Lambda-functie om berichten te publiceren.