Компания привлекла партнера AWS Managed Service Provider (MSP) для помощи с миграцией. Архитектор решений должен предоставить доступ к Amazon Machine Image (AMI) из AWS-аккаунта компании в AWS-аккаунт партнера MSP. AMI поддерживается EBS, и его снимки EBS зашифрованы с помощью управляемого клиентом ключа AWS KMS. Какой способ является НАИБОЛЕЕ безопасным для предоставления доступа к AMI в AWS-аккаунт партнера MSP?

Наиболее безопасный способ — это изменить свойство launchPermission AMI, чтобы предоставить доступ только AWS-аккаунту партнера MSP. Затем необходимо изменить политику ключа KMS, чтобы разрешить аккаунту партнера MSP использовать ключ для расшифровки снимков EBS, связанных с AMI. Это обеспечивает гранулированный контроль доступа, поскольку AMI не становится общедоступным, и доступ к ключу KMS ограничен только доверенным аккаунтом. Первый вариант небезопасен, так как делает AMI и снимки общедоступными. Третий вариант неверен, поскольку для расшифровки оригинального AMI нужен доступ к оригинальному ключу KMS, а не к новому ключу партнера. Четвертый вариант непрактичен и избыточен, так как экспорт AMI в S3 и последующий импорт — это сложный процесс, когда можно просто поделиться AMI напрямую.