【SAP-C02 模擬】CMKで暗号化されたゴールデンAMIを、Organizations内の複数アカウントで起動可能にするには？
本番アカウントのゴールデンAMIは、AWS管理キー（aws/ebs）で暗号化されたEBSスナップショットを使用しています。同じOrganizations内の20の開発アカウントでこのAMIからインスタンスを起動できるようにする必要があります。セキュリティ要件として、AMIの暗号化は維持しパブリック共有は禁止です。最も適切な方法はどれですか。
正解: D
AWS管理キーは他アカウントに利用許可を与えられないため、暗号化されたAMIの共有にはカスタマー管理キーが必要です。キーポリシー（または許可）で受取アカウントにDecrypt、DescribeKey、CreateGrantなどを許可し、AMIの起動許可とスナップショットの共有を行います。Aは管理キーが共有できないため失敗します。Bは暗号化維持の要件に違反し、Cはパブリック禁止に違反します。