Uma empresa tem duas contas AWS: Produção e Desenvolvimento. A empresa precisa enviar alterações de código da conta de Desenvolvimento para a conta de Produção. Na fase alfa, apenas dois desenvolvedores seniores em Desenvolvimento precisam de acesso à Produção. Na fase beta, mais desenvolvedores precisarão de acesso para testes. Qual solução atende a esses requisitos?

A criação de um IAM role na conta de Produção com uma política de confiança que especifica a conta de Desenvolvimento permite que os usuários da conta de Desenvolvimento (os desenvolvedores) assumam esse role para acessar recursos na conta de Produção. Isso é seguro e escalável, pois você gerencia as permissões de acesso centralmente na conta de Produção e pode facilmente adicionar ou remover desenvolvedores da conta de Desenvolvimento que podem assumir o role. As outras opções são menos ideais: Criar políticas em cada conta para cada desenvolvedor é ineficiente e difícil de gerenciar, especialmente à medida que mais desenvolvedores precisam de acesso. Criar um IAM role na conta de Desenvolvimento para acessar a Produção não é a abordagem padrão para acesso entre contas; o role deve ser criado na conta de destino (Produção). Criar um IAM group na conta de Produção e adicioná-lo como principal em uma política de confiança que especifica a conta de Produção não é para acesso entre contas e não permite que desenvolvedores de outra conta acessem.