Um fornecedor externo executará uma ferramenta automatizada a partir da própria conta AWS do fornecedor para realizar trabalhos na conta AWS da empresa. O fornecedor não tem acesso IAM à conta da empresa. Como um arquiteto de soluções deve conceder acesso ao fornecedor?

A criação de uma função IAM na conta da empresa com uma política de confiança que permite que a função IAM do fornecedor assuma essa função é a maneira mais segura e recomendada de conceder acesso entre contas. Isso permite que o fornecedor use suas próprias credenciais para assumir a função na conta da empresa, sem a necessidade de compartilhar credenciais ou criar usuários na conta da empresa. As políticas IAM anexadas à função na conta da empresa definem as permissões específicas que o fornecedor terá. Criar um usuário IAM na conta da empresa não é ideal, pois exige o compartilhamento de credenciais e aumenta a superfície de ataque. Criar um grupo IAM e adicionar o usuário do fornecedor não é possível, pois usuários de uma conta não podem ser adicionados a grupos em outra. Criar um novo provedor de identidade do tipo "AWS account" não é o mecanismo correto para delegação de função entre contas; provedores de identidade são usados para federação com sistemas de identidade externos.