Northwind Insurance obsługuje centralne konto bezpieczeństwa z prywatnym urzędem certyfikacji (CA) ACM. Zespoły aplikacji na wielu kontach AWS muszą żądać i odnawiać prywatne certyfikaty TLS za pomocą ACM na własnych kontach i dołączać je do ALB, bez ręcznej obsługi CSR. Jakie DWA działania powinien podjąć zespół ds. bezpieczeństwa, aby to umożliwić? (Wybierz dwie.)

Aby umożliwić zespołom aplikacji żądanie i odnawianie prywatnych certyfikatów TLS z centralnego prywatnego urzędu certyfikacji (CA) ACM, należy udostępnić ten CA za pomocą AWS Resource Access Manager (RAM). RAM pozwala na współdzielenie zasobów AWS między kontami. Dodatkowo, w prywatnym CA należy utworzyć uprawnienie dla podmiotu usługi ACM z ustawionym parametrem SourceAccount na każde konto aplikacji. To uprawnienie zezwala usłudze ACM na kontach aplikacji na wydawanie certyfikatów z udostępnionego CA. Konfiguracja rekordów walidacji DNS Route 53 nie jest wymagana dla prywatnych certyfikatów, ponieważ walidacja odbywa się w ramach zaufania do prywatnego CA. Eksportowanie i importowanie łańcucha certyfikatów nie jest konieczne, ponieważ RAM i uprawnienia ACM zarządzają dostępem. Użycie AWS Organizations SCP bez udostępniania CA nie zadziała, ponieważ konta członkowskie nadal potrzebują dostępu do samego CA.