Ein Einzelhandelsunternehmen hat mehrere Geschäftsteams, die jeweils ihr eigenes AWS-Konto unter AWS Organizations verwalten. Jedes Team speichert den Produktbestand in einer DynamoDB-Tabelle in seinem Konto. Eine zentrale Bestandsberichterstattungsanwendung läuft in einem gemeinsam genutzten Konto und muss Elemente aus den DynamoDB-Tabellen aller Teams lesen. Welche Authentifizierungsoption erfüllt diese Anforderungen am SICHERSTEN?

Die Erstellung von IAM-Rollen für den kontoübergreifenden Zugriff ist die sicherste Methode. Jedes Geschäftskonto definiert eine Rolle (BUROLE), der die Rolle der Bestandsanwendung (APPROLE) vertrauen kann. Die Bestandsanwendung nimmt dann die BUROLE an, um temporäre Anmeldeinformationen zu erhalten, die nur für die Dauer der Sitzung gültig sind. Dies vermeidet die Notwendigkeit, langfristige Anmeldeinformationen wie Zugriffsschlüssel zu speichern oder zu rotieren, was ein Sicherheitsrisiko darstellen würde. Die Integration mit Secrets Manager ist weniger sicher, da Secrets Manager für die Speicherung von Anmeldeinformationen gedacht ist, die von der Anwendung direkt verwendet werden, anstatt temporäre Anmeldeinformationen über Rollenübernahme zu nutzen. Die Verwendung von IAM-Benutzern mit programmatischem Zugriff und manueller Rotation ist unsicher, da langfristige Zugriffsschlüssel ein hohes Risiko darstellen und die manuelle Rotation fehleranfällig ist. ACM ist für die Verwaltung von SSL/TLS-Zertifikaten gedacht und nicht für die Authentifizierung bei DynamoDB.