Uma empresa de varejo tem várias equipes de negócios, cada uma gerenciando sua própria conta AWS no AWS Organizations. Cada equipe armazena o inventário de produtos em uma tabela DynamoDB em sua conta. Um aplicativo central de relatórios de inventário é executado em uma conta compartilhada e deve ler itens das tabelas DynamoDB de todas as equipes. Qual opção de autenticação atende a esses requisitos da forma MAIS segura?

A opção correta utiliza o AWS IAM Role para acesso cross-account, que é o método mais seguro e recomendado pela AWS para permitir que uma entidade em uma conta acesse recursos em outra. A APPROLE na conta central assume a BUROLE em cada conta de negócios, que tem permissão para ler as tabelas DynamoDB. Isso evita o compartilhamento de credenciais de longo prazo e permite que as permissões sejam gerenciadas de forma centralizada. As outras opções são menos seguras: Usar o AWS Secrets Manager com credenciais de longo prazo ainda envolve o gerenciamento de chaves de acesso, mesmo que rotacionadas, e não é a prática ideal para acesso cross-account. Criar usuários IAM com acesso programático e chaves de acesso em cada conta de negócios é inseguro, pois as chaves de acesso são credenciais de longo prazo que, se comprometidas, podem ser usadas indefinidamente até serem rotacionadas. O AWS Certificate Manager (ACM) é para gerenciar certificados SSL/TLS para serviços AWS e não é usado para autenticação direta de aplicativos no DynamoDB.