暗号化スナップショットを別アカウントへ共有

正解は ウ です。 AWS管理キーのキーポリシーは変更できない ため、そのキーで暗号化したスナップショットは別アカウントへ共有できません。 カスタマー管理キー で暗号化したコピーを作って共有します。 キー キーポリシーの変更 別アカウントへの共有 AWS管理キー(aws/ebs) 不可 × カスタマー管理キー 可 ○ 暗号化を外すことは、データ保護の方針に反する。 AWS管理キーのキーポリシーは利用者が変更できない。 カスタマー管理キーならキーポリシーで相手アカウントに使用を許可でき、共有が成立する。 AWS管理キーで暗号化されたスナップショットは、共有しても相手が復号できない。

本番アカウントのEBSスナップショットを、DR用の別アカウントへ共有したい。スナップショットはAWS管理キー(aws/ebs)で暗号化されている。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
スナップショットを暗号化なしでコピーしてから共有する
イ
aws/ebs のキーポリシーを編集し、DRアカウントに kms:Decrypt を許可してから共有する
ウ
カスタマー管理キーで暗号化したコピーを作り、キーポリシーで相手を許可して共有する
エ
スナップショットの共有設定でDRアカウントのIDを追加する