Компания хранит данные в бакете S3 в аккаунте под названием Hub-Account. Бакет зашифрован с помощью ключа KMS. Экземпляр QuickSight в другом аккаунте (BI-Account) должен получить доступ к этому бакету. Политика бакета S3 была обновлена, чтобы предоставить доступ роли сервиса QuickSight. Какие шаги следует предпринять, чтобы включить кросс-аккаунтный доступ QuickSight к зашифрованному бакету S3? (Выберите два.)

Для кросс-аккаунтного доступа QuickSight к зашифрованному S3 бакету, необходимо выполнить два ключевых шага. Во-первых, политика IAM, прикрепленная к сервисной роли QuickSight в BI-Account, должна явно разрешать доступ к ключу KMS, который шифрует бакет S3 в Hub-Account. Это позволяет QuickSight расшифровывать данные. Во-вторых, политика бакета S3 в Hub-Account должна быть обновлена, чтобы предоставить сервисной роли QuickSight разрешение на чтение данных из бакета. Неправильные варианты: Использование существующего ключа KMS для шифрования подключений сервиса QuickSight к бакету S3 не относится к предоставлению доступа QuickSight к уже зашифрованным данным. Добавление бакета S3 в качестве ресурса, к которому может получить доступ роль сервиса QuickSight, является частью решения, но неполным, так как не решает проблему доступа к ключу KMS. Обмен бакетом S3 через AWS Resource Access Manager (AWS RAM) не является необходимым шагом для предоставления доступа QuickSight, так как прямое управление политиками IAM и бакета достаточно.