Uma empresa tem um bucket do Amazon S3 que contém arquivos de dados confidenciais. A empresa executa um aplicativo em máquinas virtuais em um data center on-premises e usa o AWS IAM Identity Center. O aplicativo requer acesso temporário aos objetos do S3. A empresa deseja conceder ao aplicativo acesso seguro ao bucket do S3. Qual solução atende a esses requisitos?

A opção correta é usar o IAM Roles Anywhere porque ele permite que cargas de trabalho fora da AWS (como máquinas virtuais on-premises) obtenham credenciais temporárias do IAM, integrando-se com a infraestrutura de PKI existente da empresa. Isso concede acesso seguro e temporário ao S3 sem a necessidade de gerenciar chaves de acesso de longo prazo. A criação de uma política de bucket do S3 baseada em IP é menos segura, pois o acesso é concedido a qualquer um dentro do intervalo de IPs, e endereços IP públicos podem mudar ou ser spoofed. Configurar a AWS CLI com chaves de acesso de um usuário do IAM diretamente na VM é uma prática de segurança ruim, pois as chaves de longo prazo são um risco de segurança se comprometidas. Armazenar chaves de acesso no AWS Secrets Manager e recuperá-las na inicialização é melhor do que armazená-las diretamente na VM, mas ainda envolve o gerenciamento de chaves de longo prazo, o que é menos seguro do que credenciais temporárias fornecidas pelo IAM Roles Anywhere.