Administrator utworzył niestandardową instancję EC2 z oprogramowaniem i zaszyfrowanymi woluminami EBS, używając kluczy zarządzanych przez AWS. Utworzył AMI z tej instancji i chce udostępnić to AMI innym kontom AWS firmy. Polityka firmy wymaga, aby AMI były szyfrowane kluczami KMS zarządzanymi przez klienta i dostępne tylko dla autoryzowanych kont. Jaki proces bezpiecznie udostępnia AMI, spełniając jednocześnie wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania. Aby udostępnić zaszyfrowane AMI innym kontom, należy najpierw utworzyć kopię AMI, szyfrując ją kluczem KMS zarządzanym przez klienta (CMK), ponieważ nie można bezpośrednio udostępniać AMI zaszyfrowanych kluczami zarządzanymi przez AWS. Polityka klucza CMK musi zezwalać kontom odbiorców na deszyfrowanie. Następnie, aby udostępnić AMI tylko autoryzowanym kontom, należy ustawić uprawnienia uruchamiania skopiowanego AMI na te konkretne identyfikatory kont. Pierwsza opcja jest nieprawidłowa, ponieważ nie można zmienić klucza szyfrowania istniejącego AMI ani udostępnić AMI zaszyfrowanego kluczem zarządzanym przez AWS. Trzecia opcja jest nieprawidłowa, ponieważ upublicznienie AMI narusza wymóg udostępniania tylko autoryzowanym kontom. Czwarta opcja jest nieprawidłowa, ponieważ nie można modyfikować polityki klucza zarządzanego przez AWS, a udostępnianie AMI zaszyfrowanych tymi kluczami jest niemożliwe.