Размещенные зоны Route 53 централизованно управляются в общем аккаунте AWS. Разработчику в аккаунте разработки требуется новый TLS/SSL-сертификат для приложения в этом аккаунте. Каков правильный способ получения и проверки сертификата для системного администратора?

Правильный ответ — запросить сертификат ACM из аккаунта разработки и поручить общему аккаунту создать записи DNS для валидации в размещенной зоне в Route 53. Это позволяет разработчику инициировать запрос сертификата в своем аккаунте, а централизованный аккаунт Route 53, управляющий размещенными зонами, может создать необходимые записи CNAME для DNS-валидации. Неправильные варианты: Создание нового ключа KMS не имеет отношения к получению и валидации TLS/SSL-сертификата. KMS используется для шифрования, а не для управления сертификатами. Запрос сертификата ACM из общего аккаунта для приложения в аккаунте разработки нарушает принцип наименьших привилегий и разделения обязанностей. Сертификат должен быть запрошен в том аккаунте, где он будет использоваться. Создание ключа KMS в аккаунте разработки и предоставление доступа общему аккаунту также не имеет отношения к валидации сертификатов и является неправильным использованием KMS.