Uma empresa usa AWS Organizations e Control Tower para governança e um Transit Gateway para conectividade VPC multi-conta. A equipe de aplicação implantou um aplicativo web (Lambda + RDS) em uma conta de aplicação. Os DBAs em uma conta DBA separada gerenciam bancos de dados centralmente e usam uma instância EC2 na conta DBA para acessar uma instância RDS na conta de aplicação. A equipe de aplicação armazena credenciais de banco de dados no AWS Secrets Manager na conta de aplicação e atualmente compartilha segredos manualmente com os DBAs. Os segredos são criptografados com a chave padrão do Secrets Manager gerenciada pela AWS na conta de aplicação. Projete uma solução que dê aos DBAs acesso ao banco de dados sem compartilhamento manual de segredos.

A opção correta utiliza o modelo de delegação de permissões entre contas, onde a conta DBA assume uma função (DBA-Secret) na conta de aplicação para acessar os segredos. Isso é seguro e escalável, evitando o compartilhamento direto de credenciais. A primeira opção está incorreta porque o AWS Resource Access Manager (RAM) não é usado para compartilhar segredos do Secrets Manager diretamente entre contas para acesso de leitura. O RAM é para compartilhar recursos como sub-redes, Transit Gateways, etc. A terceira opção está incorreta porque não é possível anexar políticas de chave baseadas em recursos à chave padrão gerenciada pela AWS (aws/secretsmanager). Chaves gerenciadas pela AWS têm políticas de chave fixas. A quarta opção está incorreta porque, embora as SCPs possam restringir permissões, elas não concedem permissões. A concessão de permissões para acesso entre contas é feita por meio de políticas de confiança e políticas de permissão em funções IAM.