Ein Entwickler benötigt temporären Zugriff auf Ressourcen in einem anderen AWS-Konto. Welcher Ansatz bietet den sichersten temporären Zugriff?

Das Erstellen einer kontoübergreifenden IAM-Rolle im Zielkonto und das Aufrufen von sts:AssumeRole ist der sicherste Ansatz. Dies ermöglicht es dem Entwickler, temporäre Sicherheitsanmeldeinformationen zu erhalten, die nur für die Dauer der Sitzung gültig sind und die Prinzipien des geringsten Privilegs und der temporären Berechtigungen einhalten. Amazon Cognito-Benutzerpools sind für die Authentifizierung von Endbenutzern in Anwendungen gedacht, nicht für den Zugriff zwischen AWS-Konten. Das Erstellen und Versenden von IAM-Zugriffsschlüsseln per E-Mail ist extrem unsicher, da die Anmeldeinformationen dauerhaft sind und leicht abgefangen werden können. Das Hinzufügen eines SSH-Schlüssels zu einem IAM-Benutzer ist für den Zugriff auf EC2-Instanzen gedacht, nicht für den kontoübergreifenden Zugriff auf AWS-Ressourcen.