Uma agência de consultoria precisa de acesso temporário à conta AWS de produção de uma empresa para uma auditoria de segurança. Vários consultores precisarão de acesso. A agência tem sua própria conta AWS. A empresa exige MFA para todo acesso e proíbe credenciais de longo prazo. Qual solução atende a esses requisitos?

A criação de um IAM role na conta da empresa com uma política de confiança que especifica a conta da agência como principal e exige MFA é a solução correta. Isso permite que os consultores da agência assumam o role na conta da empresa, obtendo acesso temporário e federado, sem a necessidade de credenciais de longo prazo na conta da empresa. A exigência de MFA na política de confiança garante a conformidade com o requisito de segurança. As outras opções estão incorretas porque: Criar usuários IAM para cada consultor viola a proibição de credenciais de longo prazo e não é escalável para acesso entre contas. Configurar o Amazon Cognito para autenticar contra o IdP da agência é uma opção para federação de identidade, mas o IAM role é a maneira mais direta e segura para acesso programático e de console entre contas AWS, especialmente quando o requisito é acesso temporário para uma auditoria. Criar o IAM role na conta da agência com a conta da empresa como principal é o inverso do que é necessário; a conta que concede o acesso (a empresa) deve definir o role e a política de confiança.