Nordic Bio 在 Account A 中執行一個 Lambda 函數，該函數必須使用 Account B 中的 KMS key 來加密資料。由於平台限制，Lambda 程式碼無法在另一個帳戶中擔任角色。安全團隊應該怎麼做才能在不更改程式碼的情況下啟用這種跨帳戶加密？

正確答案是更新 Account B 中的 KMS key policy，因為 KMS key policy 是控制誰可以存取 KMS key 的主要機制。透過在 Account B 的 key policy 中明確允許 Account A 的 Lambda 執行角色 ARN 執行 kms:Encrypt 和 kms:GenerateDataKey 操作，可以實現跨帳戶加密。同時，Account A 中的角色也必須具有這些權限，形成完整的授權鏈。 在 Account B 中為 KMS 建立一個 interface VPC endpoint 並添加寬鬆的 endpoint policy，這僅影響網路連線，不提供跨帳戶的 KMS 授權。在 Account B 的 KMS key 中添加信任關係是 IAM 角色信任政策的概念，不適用於 KMS key policy。使用 AWS Resource Access Manager (RAM) 共享 KMS key 是不正確的，KMS key 無法透過 RAM 共享。