У компании есть рабочий процесс приложения, в котором функция AWS Lambda загружает и расшифровывает файлы из Amazon S3. Файлы зашифрованы ключами AWS Key Management Service (AWS KMS). Инженеру-архитектору необходимо убедиться, что установлены правильные разрешения. Какая комбинация действий позволит это сделать? (Выберите два варианта)

Для того чтобы функция AWS Lambda могла расшифровывать файлы, зашифрованные с помощью AWS KMS, ей необходимы соответствующие разрешения. Правильный подход включает два ключевых шага: 1. Предоставление разрешения kms:Decrypt роли выполнения Lambda. Функция Lambda выполняет действия от имени своей роли выполнения IAM. Поэтому эта роль должна иметь разрешение kms:Decrypt, чтобы вызывать операцию дешифрования KMS. Это достигается путем создания новой политики IAM с разрешением kms:Decrypt и присоединения ее к роли выполнения Lambda. 2. Предоставление разрешения decrypt для роли IAM Lambda в политике ключа KMS. Помимо разрешения в политике IAM роли, ключ KMS также должен явно разрешать этой роли использовать его для дешифрования. Это делается путем добавления соответствующего оператора в политику ключа KMS, который разрешает роль выполнения Lambda выполнять действие kms:Decrypt с этим ключом. Опция "Прикрепите разрешение kms:decrypt к политике ресурсов функции Lambda" неверна, так как политики ресурсов используются для управления доступом к самой функции Lambda, а не для предоставления ей исходящих разрешений. Опция "Предоставьте разрешение decrypt для политики ресурсов Lambda в политике ключа KMS" также неверна, поскольку политика ключа KMS должна ссылаться на роль IAM, а не на политику ресурсов Lambda.