Um fornecedor externo precisa de acesso à conta AWS da empresa para executar uma ferramenta automatizada hospedada na própria conta AWS do fornecedor. O fornecedor atualmente não tem acesso IAM à conta da empresa. Qual solução fornecerá a maneira MAIS segura de conceder acesso ao fornecedor?

A criação de uma IAM role na conta da empresa que delega acesso a uma IAM role na conta do fornecedor é a abordagem mais segura. Isso estabelece uma relação de confiança entre as contas, permitindo que a ferramenta automatizada do fornecedor assuma a role na conta da empresa sem a necessidade de credenciais de longa duração. As políticas anexadas à role da empresa definem as permissões exatas, seguindo o princípio do privilégio mínimo. Criar um usuário IAM com senha é menos seguro, pois envolve o gerenciamento e a rotação de credenciais de longa duração, aumentando o risco de comprometimento. Adicionar um usuário IAM de outra conta a um grupo IAM na conta da empresa não é um mecanismo padrão de delegação de acesso entre contas. Usar um permission boundary com um usuário IAM não é a forma correta de conceder acesso entre contas; permission boundaries limitam as permissões máximas de um usuário ou role dentro da mesma conta.