Auditores externos em uma única conta AWS precisam de acesso seguro e somente leitura à conta AWS da empresa para auditorias financeiras. A solução deve seguir as melhores práticas de segurança da AWS. Qual abordagem o arquiteto de soluções deve implementar?

A criação de uma função IAM que confia na conta AWS dos auditores e a inclusão de um ID externo exclusivo na política de confiança é a melhor prática para acesso entre contas. Isso permite que os auditores assumam essa função a partir de sua própria conta AWS, garantindo acesso somente leitura e um mecanismo de segurança robusto contra o problema do "confused deputy" através do ID externo. Adicionar políticas de recurso a cada recurso é impraticável e difícil de gerenciar em grande escala. Criar um usuário IAM e compartilhar chaves de acesso é uma prática de segurança ruim, pois as chaves podem ser comprometidas. Criar um grupo IAM e usuários para cada auditor na conta da empresa não é ideal para auditores externos, pois eles teriam credenciais gerenciadas pela empresa, não por sua própria conta.