Northwind Insurance beheert een centraal security-account met een ACM Private CA. Applicatieteams in meerdere AWS-accounts moeten privé TLS-certificaten aanvragen en vernieuwen met behulp van ACM in hun eigen accounts en deze koppelen aan ALBs, zonder handmatige CSR-afhandeling. Welke TWEE acties moet het securityteam ondernemen om dit mogelijk te maken? (Kies er twee.)

Om applicatieteams in staat te stellen privé TLS-certificaten aan te vragen en te vernieuwen via ACM in hun eigen accounts, moet de Private CA gedeeld worden. Dit gebeurt door de Private CA te delen met de applicatieaccounts via AWS Resource Access Manager (RAM). Dit maakt de CA beschikbaar voor gebruik in de gekoppelde accounts. Daarnaast is het essentieel om een permissiebeleid op de Private CA te configureren. Deze permissie moet de ACM service principal (acm.amazonaws.com) toestaan om certificaten uit te geven, waarbij de SourceAccount voor elk applicatieaccount wordt gespecificeerd. Dit zorgt ervoor dat ACM in de applicatieaccounts gemachtigd is om namens hen certificaten aan te vragen en te vernieuwen bij de gedeelde Private CA. Incorrecte opties: Route 53 DNS-validatie is relevant voor openbare certificaten, niet voor privécertificaten uitgegeven door een Private CA. Het exporteren en importeren van de certificaatketen is niet nodig voor het delen van de CA-functionaliteit en automatische uitgifte via ACM. AWS Organizations SCP's kunnen permissies beperken, maar ze kunnen niet de onderliggende CA-bron delen of de benodigde uitgiftepermissies instellen voor ACM.