Uma empresa que usa o AWS Organizations precisa fornecer credenciais de curta duração para contas AWS de terceiros para acesso a contas na organização, tanto para o AWS Management Console quanto para acesso a aplicativos SaaS de terceiros. A solução deve fortalecer a confiança para evitar que duas contas externas usem as mesmas credenciais e exigir operações mínimas. Qual solução atende a essas necessidades?

A criação de uma função do IAM exclusiva para cada conta externa, juntamente com a condição sts:ExternalId na política de confiança, é a solução mais segura e eficiente. O ExternalId é um identificador único que a conta externa deve fornecer ao assumir a função, garantindo que apenas a entidade esperada possa assumir a função, evitando o problema de "confused deputy" e fortalecendo a confiança. Além disso, é uma solução de baixa manutenção, pois não exige a gestão de credenciais de longa duração. As outras opções são menos adequadas: A autenticação de token de portador com OAuth ou SAML e Amazon Cognito é mais complexa e geralmente usada para autenticação de usuários finais em aplicações, não para acesso programático ou de console de contas AWS externas. O AWS IAM Identity Center (SSO) é excelente para gerenciar o acesso de usuários e grupos internos a contas AWS, mas não é a solução ideal para fornecer credenciais de curta duração a contas AWS de terceiros de forma segura e com baixo esforço administrativo para o cenário descrito. Criar uma função do IAM e usar o AWS Secrets Manager para uma chave externa aleatória introduz complexidade desnecessária na gestão de segredos e não oferece o mesmo nível de segurança do sts:ExternalId para evitar que a mesma chave seja usada por diferentes entidades externas.