SAP-C02 第 101 题
题目
一家公司正在 AWS 上的多账户环境中运行应用程序。该公司的销售团队和营销团队在 AWS Organizations 中使用单独的 AWS 账户。销售团队在 Amazon S3 存储桶中存储 PB 级的数据。营销团队使用 Amazon QuickSight 进行数据可视化。营销团队需要访问国家团队存储在 S3 存储桶中的数据。该公司已使用 AWS Key Management Service (AWS KMS) 密钥对 S3 存储桶进行加密。营销团队已为 QuickSight 创建 IAM 服务角色，以在营销 AWS 账户中提供 QuickSight 访问权限。该公司需要一种解决方案，能够跨 AWS 账户安全地访问 S3 存储桶中的数据。哪种解决方案能够以最少的运营开销满足这些要求？
选项
A. 在营销帐户中创建一个新的 S3 存储桶。在销售账户中创建 S3 复制规则，以将对象复制到营销账户中的新 S3 存储桶。更新营销帐户中的 QuickSight 权限以授予对新 S3 存储桶的访问权限。
B. 创建 SCP 以向营销帐户授予对 S3 存储桶的访问权限。使用 AWS Resource Access Manager (AWS RAM) 与营销账户共享 sates 账户中的 KMS 密钥。更新营销帐户中的 QuickSight 权限以授予对 S3 存储桶的访问权限。
C. 更新营销帐户中的 S3 存储桶策略以授予对 QuickSight 角色的访问权限。为 S3 存储桶中使用的加密密钥创建 KMS 授权。向 QuickSight 角色授予解密访问权限。更新营销帐户中的 QuickSight 权限以授予对 S3 存储桶的访问权限。
D. 在销售账户中创建 IAM 角色并授予对 S3 存储桶的访问权限。从营销账户中，承担销售账户中的 IAM 角色以访问 S3 存储桶。更新 QuickSight 死记硬背，以与销售账户中的新 IAM 角色创建信任关系。
答案
D
解析
正确答案：D 解析： 题干关键点：最低运维开销、AWS Organizations 组织治理、核心服务：Transit Gateway, S3, IAM, Organizations, KMS。 正确选项： D. 在销售账户中创建 IAM 角色并授予对 S3 存储桶的访问权限。从营销账户中，承担销售账户中的 IAM 角色以访问 S3 存储桶。更新 QuickSight 死记硬背，以与销售账户中的新 IAM 角色创建信任关系。 选择理由：...