Ein Unternehmen nutzt Identitätsföderation, um Benutzer in einem Identitätskonto (987654321987) zu authentifizieren, wo sie eine IAM-Rolle namens IdentityRole annehmen. Anschließend nehmen sie eine IAM-Rolle namens JobFunctionRole im AWS-Zielkonto (123456789123) an, um ihre Aufgaben zu erfüllen. Ein Benutzer kann die Rolle im Zielkonto nicht annehmen. Die Rolle im Identitätskonto hat eine angehängte IAM-Richtlinie (nicht gezeigt). Welche Änderung ist erforderlich, damit der Benutzer die entsprechende Rolle im Zielkonto annehmen kann?

Die Vertrauensrichtlinie einer IAM-Rolle definiert, welche Principals (Benutzer, Rollen oder AWS-Services) diese Rolle annehmen dürfen. Wenn Benutzer die JobFunctionRole im Zielkonto (123456789123) nicht annehmen können, liegt dies daran, dass die Vertrauensrichtlinie dieser Rolle die IdentityRole aus dem Identitätskonto (987654321987) nicht als vertrauenswürdigen Principal zulässt. Eine Aktualisierung der Vertrauensrichtlinie der JobFunctionRole ist erforderlich, um die IdentityRole als vertrauenswürdigen Principal hinzuzufügen. Die IAM-Richtlinie, die an die Rolle im Identitätskonto angehängt ist, definiert die Berechtigungen, die die IdentityRole nach dem Annehmen hat, nicht aber, welche Rollen sie annehmen darf. Die Vertrauensrichtlinie der Rolle im Identitätskonto steuert, wer diese Rolle annehmen darf, was hier nicht das Problem ist. Die an die Rolle im Zielkonto angehängte IAM-Richtlinie definiert die Berechtigungen, die die JobFunctionRole nach dem Annehmen hat, nicht aber, wer sie annehmen darf.