Em uma AWS Organization multi-conta, a conta de vendas armazena petabytes em um bucket S3 criptografado com uma chave KMS. A conta de marketing usa o Amazon QuickSight e precisa de acesso aos dados S3 de vendas. O marketing já criou a função de serviço QuickSight em sua conta. Você deve fornecer acesso seguro entre contas com o menor custo operacional. Qual solução é a melhor?

A criação de uma função IAM na conta de vendas com acesso ao bucket S3, que a função QuickSight na conta de marketing pode assumir, é a solução mais segura e de menor custo operacional. Isso permite o acesso direto aos dados sem duplicação ou gerenciamento complexo de chaves. A replicação S3 (primeira opção) aumenta o custo de armazenamento e duplica os dados. As SCPs (segunda opção) são para controle de permissões máximas e não concedem acesso diretamente, e o AWS RAM não compartilha chaves KMS para descriptografia. A terceira opção, de conceder acesso direto ao bucket de marketing e uma concessão KMS, é menos segura, pois expõe o bucket da conta de vendas diretamente à conta de marketing, em vez de usar um mecanismo de assunção de função.