Het Creative-team slaat afbeeldingen op in een S3-bucket in het Creative-account en gebruikt een aangepaste AWS KMS key die aan die bucket is gekoppeld. Het Strategy-account heeft alleen-lezen toegang nodig om objecten te bekijken. Een cross-account IAM role genaamd strategy_reviewer bestaat in het Strategy-account. Wanneer gebruikers strategy_reviewer aannemen en proberen objecten te lezen, krijgen ze Access Denied. U moet het Strategy-account alleen de minimaal vereiste machtigingen verlenen. Welke combinatie van stappen moet u nemen? (Kies drie.)

Om cross-account toegang te verlenen, zijn machtigingen op drie plaatsen nodig: de S3-bucket, de KMS-sleutel en de IAM-rol. Ten eerste moet een S3-bucketbeleid worden gemaakt in het Creative-account om leesrechten te verlenen aan het Strategy-account-ID, zodat het Strategy-account de bucket kan benaderen. Ten tweede moet het aangepaste KMS-sleutelbeleid in het Creative-account worden bijgewerkt om decrypt-machtigingen te verlenen aan de strategyreviewer IAM-rol, omdat de objecten zijn versleuteld met deze sleutel. Ten slotte moet de strategyreviewer IAM-rol in het Strategy-account worden bijgewerkt om S3-leesrechten en KMS decrypt-machtigingen te verlenen. Zonder deze drie stappen zal de toegang worden geweigerd. De optie om de bucket policy principal in te stellen op een anonieme gebruiker is onveilig en verleent te brede toegang. Het verlenen van encrypt-machtigingen aan de KMS-sleutel is niet nodig voor alleen-lezen toegang.