Twoje przedsiębiorstwo posiada dwa konta AWS: produkcyjne (hostujące źródłowy bucket S3) i deweloperskie (docelowy bucket S3). Dane w bucketcie produkcyjnym są szyfrowane za pomocą klucza AWS KMS zarządzanego przez klienta. Zamierzasz skopiować dane do bucketa S3 na koncie deweloperskim i musisz użyć klucza KMS z konta deweloperskiego do zaszyfrowania skopiowanych danych. Ten klucz KMS na koncie deweloperskim musi zezwalać na dostęp z konta produkcyjnego. Które podejście spełnia te wymagania?

Poprawna odpowiedź to utworzenie nowego klucza KMS zarządzanego przez klienta (CMK) na koncie deweloperskim i dodanie konta produkcyjnego do polityki tego klucza. To podejście pozwala kontu produkcyjnemu na użycie klucza z konta deweloperskiego do zaszyfrowania danych podczas kopiowania, spełniając wymóg szyfrowania danych docelowych kluczem z konta deweloperskiego. Replikowanie klucza KMS nie jest standardową funkcjonalnością, a klucze zarządzane przez AWS dla S3 (SSE-S3) nie oferują takiej kontroli nad polityką dostępu, jakiej wymaga scenariusz.