Nordic Bio запускает функцию Lambda в аккаунте A, которая должна шифровать данные с помощью ключа KMS в аккаунте B. Из-за ограничений платформы код Lambda не может принимать роль в другом аккаунте. Что должна сделать команда безопасности, чтобы включить это межаккаунтное шифрование без изменений в коде?

Правильный ответ обеспечивает необходимый доступ к ключу KMS из другого аккаунта. Для использования ключа KMS из аккаунта B роль выполнения Lambda из аккаунта A должна иметь разрешения на действия kms:Encrypt и kms:GenerateDataKey как в своей политике разрешений IAM, так и в политике ключа KMS в аккаунте B. Политика ключа KMS определяет, кто может использовать ключ, а политика IAM роли определяет, что роль может делать. Неправильные варианты: Создание интерфейсной конечной точки VPC для KMS в аккаунте B и добавление разрешительной политики конечной точки для аккаунта A не предоставляет разрешения на использование ключа KMS. Конечная точка VPC обеспечивает частное подключение, но не управляет авторизацией. Добавление отношения доверия к ключу KMS в аккаунте B, которое доверяет роли из аккаунта A, некорректно. Отношения доверия используются для ролей IAM, а не для ключей KMS. Политика ключа KMS напрямую определяет принципалов, которым разрешен доступ. Совместное использование ключа KMS из аккаунта B с аккаунтом A с помощью AWS Resource Access Manager (RAM) не является основным механизмом для предоставления разрешений на использование KMS между аккаунтами. RAM используется для совместного использования ресурсов, таких как подсети или группы ресурсов, но для KMS требуется прямое управление политикой ключа.