Zespół kreatywny przechowuje obrazy w zasobniku S3 na koncie Creative i używa niestandardowego klucza AWS KMS dołączonego do tego zasobnika. Konto Strategy potrzebuje dostępu tylko do odczytu obiektów. Na koncie Strategy istnieje rola IAM o nazwie strategy_reviewer, która umożliwia dostęp między kontami. Gdy użytkownicy przyjmują rolę strategy_reviewer i próbują odczytać obiekty, otrzymują komunikat Access Denied. Musisz przyznać kontu Strategy tylko minimalne wymagane uprawnienia. Jaką kombinację kroków należy podjąć? (Wybierz trzy.)

Aby umożliwić dostęp między kontami do zasobnika S3 szyfrowanego za pomocą KMS, wymagane są trzy elementy. Po pierwsze, polityka zasobnika S3 musi zezwalać na dostęp z konta Strategy (nie z anonimowego użytkownika). Po drugie, rola IAM strategyreviewer na koncie Strategy musi mieć uprawnienia do odczytu obiektów S3 i odszyfrowywania za pomocą klucza KMS. Po trzecie, polityka klucza KMS na koncie Creative musi zezwalać roli strategyreviewer na operację kms:Decrypt. Opcja z uprawnieniami encrypt jest nieprawidłowa, ponieważ potrzebne jest odszyfrowywanie, a nie szyfrowanie. Pełne uprawnienia dla zasobnika S3 są niezgodne z zasadą minimalnych uprawnień.