Сторонняя компания-партнер будет размещать данные компании в бакете S3 в своем аккаунте AWS. Партнер попросил компанию предоставить ключ KMS для шифрования этих данных и предоставил ARN роли IAM, которую он будет использовать. Что должен сделать системный администратор для безопасной реализации этой интеграции?

Правильный ответ — создание нового ключа KMS в аккаунте компании и добавление ARN роли IAM партнера в его политику. Это позволяет компании контролировать ключ шифрования и управлять доступом к нему, а партнеру — использовать этот ключ для шифрования данных. Предоставление ARN ключа KMS партнеру позволяет ему настроить свои операции загрузки в S3 с использованием этого ключа. Использование управляемого AWS ключа S3 KMS не подходит, так как компания не сможет контролировать политику доступа к нему. Создание нового пользователя IAM и прикрепление политики к нему не является правильным подходом, так как партнер уже предоставил ARN своей роли IAM, и нет необходимости создавать нового пользователя. Добавление ARN роли партнера в политику бакета S3 не обеспечит шифрование данных с использованием ключа KMS, а только регулирует доступ к бакету.