別アカウントのバケットを読めない原因

正解は ア と エ です。 別アカウントへのアクセスは、 呼び出し側のIDベースのポリシー と 受け側のリソースポリシー の両方で許可が必要です。KMSで暗号化されていれば、 キーポリシーとIAMポリシーの両方でのDecryptの許可 も要ります。 確認箇所 必要な許可 AのロールのIAMポリシー s3:GetObject、kms:Decrypt Bのバケットポリシー s3:GetObject（設定済み） BのKMSキーポリシー Aのロールの kms:Decrypt カスタマー管理キーで暗号化されたオブジェクトは、キーの使用許可がないと復号できない。 所有権の設定はACLの扱いに関わるもので、この問題の原因ではない。 ACLは推奨されない旧方式で、ポリシーで許可済みの要件の解決にならない。 クロスアカウントでは呼び出し側でも許可が必要で、バケットポリシーだけでは足りない。 SCPは許可の上限で、許可そのものを与えない。

アカウントAの分析用IAMロールが、アカウントBのS3バケットのオブジェクトを読み取る。Bのバケットポリシーでは、Aのロールに s3:GetObject を許可している。オブジェクトはBのカスタマー管理KMSキーで暗号化されている。

読み取りが AccessDenied になる。必要な対策を2つ選択してください。

出典AWS非公式・オリジナル問題
【複数選択】 正解を 2つ 選択してください0 / 2 選択中