FinSec schakelt een externe auditor in die opereert vanuit een afzonderlijk AWS-account om een versleutelde EBS-volume van een gecompromitteerde instantie te analyseren. FinSec moet de versleuteling handhaven en de toegang van de auditor beperken tot alleen dit bewijsmateriaal. Welke stappen zijn vereist om de auditor een bruikbare kopie van de snapshot te geven? (Kies twee.)

De correcte antwoorden beschrijven de veilige en juiste procedure voor het delen van een versleutelde EBS-snapshot tussen AWS-accounts. Eerst moet het FinSec-account de versleutelde snapshot delen met het account van de auditor en het auditor-account toestemming geven (via een sleutelbeleid of grant) om de KMS-sleutel (CMK) te gebruiken die de snapshot heeft versleuteld, specifiek voor het kopiëren. Vervolgens moet de auditor in zijn eigen account de gedeelde versleutelde snapshot kopiëren en deze opnieuw versleutelen met een CMK die hij zelf beheert. Dit zorgt ervoor dat de auditor volledige controle heeft over de nieuwe kopie en de bijbehorende versleuteling, terwijl de originele snapshot en sleutel in het FinSec-account veilig blijven. Het openbaar maken van de snapshot (optie 3) is een ernstig beveiligingsrisico en onacceptabel. Het exporteren naar S3 via DataSync (optie 4) is niet de standaardmethode voor het delen van versleutelde EBS-snapshots en voegt onnodige complexiteit toe. Het maken van een AMI en deze delen (optie 5) is onjuist omdat versleutelde AMI's wel degelijk gedeelde KMS-sleutels vereisen voor de ontvanger om ze te kunnen gebruiken.