Ein Unternehmen, das AWS Organizations verwendet, muss Drittanbieter-AWS-Konten kurzfristige Anmeldeinformationen für den Zugriff auf Konten in der Organisation bereitstellen, sowohl für die AWS Management Console als auch für den Zugriff auf SaaS-Anwendungen von Drittanbietern. Die Lösung muss das Vertrauen stärken, um zu verhindern, dass zwei externe Konten dieselben Anmeldeinformationen verwenden, und einen minimalen Betriebsaufwand erfordern. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, für jedes externe Konto eine eindeutige IAM-Rolle zu erstellen und in der Vertrauensrichtlinie eine Bedingung mit dem Bedingungsschlüssel sts:ExternalId hinzuzufügen. Dies erfüllt die Anforderungen, da ExternalId eine eindeutige Kennung ist, die von Drittanbietern verwendet wird, um das Vertrauen zu stärken und das Confused-Deputy-Problem zu verhindern. Jeder Drittanbieter erhält eine eigene Rolle und einen eindeutigen ExternalId-Wert, was sicherstellt, dass zwei externe Konten nicht dieselben Anmeldeinformationen verwenden können. Dies ist auch betrieblich effizient, da es eine standardisierte Methode zur Bereitstellung von Zugriff bietet. Die anderen Optionen sind weniger geeignet: OAuth/SAML mit Amazon Cognito ist für die Authentifizierung von Endbenutzern konzipiert, nicht für den programmatischen Zugriff von Drittanbieterkonten auf AWS-Ressourcen. AWS IAM Identity Center (SSO) ist für die Verwaltung des Zugriffs von Benutzern innerhalb einer Organisation gedacht, nicht primär für Drittanbieterkonten, die temporäre Anmeldeinformationen benötigen. Die Verwendung von AWS Secrets Manager zur Erstellung eines zufälligen externen Schlüssels ist umständlicher und bietet nicht die gleiche integrierte Vertrauensstärkung wie sts:ExternalId in einer IAM-Rollen-Vertrauensrichtlinie.