Uma empresa executa um serviço de monitoramento de infraestrutura. A empresa está desenvolvendo um novo recurso que permitirá ao serviço monitorar dados nas contas AWS dos clientes. O novo recurso chamará APIs da AWS nas contas dos clientes para descrever instâncias Amazon EC2 e ler métricas do Amazon CloudWatch. O que a empresa deve fazer para obter acesso às contas dos clientes da maneira MAIS segura?

A criação de uma função do IAM (Identity and Access Management) com uma política de confiança que permite que a conta da empresa assuma essa função é a maneira mais segura. Isso concede acesso temporário e limitado às contas dos clientes, sem a necessidade de compartilhar credenciais de longo prazo. As permissões somente leitura para EC2 e CloudWatch garantem que a empresa só possa visualizar os dados necessários, seguindo o princípio do menor privilégio. Criar uma API serverless para tokens temporários é complexo e desnecessário, pois as funções do IAM já oferecem esse mecanismo. Criar um usuário do IAM e armazenar chaves de acesso é inseguro, pois as chaves são credenciais de longo prazo e seu armazenamento centralizado aumenta o risco de comprometimento. Usar o Amazon Cognito para um usuário e senha também é menos seguro e mais complexo do que a abordagem de função do IAM, além de envolver o armazenamento de credenciais.