Uma empresa usa federação de identidade para autenticar usuários em uma conta de identidade (987654321987), onde eles assumem uma IAM role chamada IdentityRole. Em seguida, eles assumem uma IAM role chamada JobFunctionRole na conta AWS de destino (123456789123) para realizar suas tarefas. Um usuário não consegue assumir a role na conta de destino. A role na conta de identidade tem uma IAM policy anexada (não mostrada). Qual mudança é necessária para permitir que o usuário assuma a role apropriada na conta de destino?

A trust policy define quem pode assumir uma IAM role. Para que um usuário de uma conta (987654321987) possa assumir uma role em outra conta (123456789123), a trust policy da role na conta de destino (JobFunctionRole) deve permitir que a role da conta de identidade (IdentityRole) a assuma. Se o usuário não consegue assumir a role de destino, a trust policy desta role está configurada incorretamente. As outras opções estão incorretas porque: A IAM policy anexada à role na conta de identidade controla o que a IdentityRole pode fazer, não quem pode assumi-la. A trust policy na role na conta de identidade controla quem pode assumir a IdentityRole, não a JobFunctionRole. A IAM policy anexada à role na conta de destino controla o que a JobFunctionRole pode fazer, não quem pode assumi-la.