Ein Unternehmen wird viele AWS-Konten für verschiedene Abteilungen von einem zentralen Standort aus verwalten. Das Sicherheitsteam muss von seinem eigenen AWS-Konto aus Lesezugriff auf jedes Konto haben. Das Unternehmen verwendet AWS Organizations und hat ein Konto für das Sicherheitsteam erstellt. Wie kann der Lösungsarchitekt dem Sicherheitsteam Lesezugriff auf Mitgliedskonten gewähren?

Die korrekte Lösung besteht darin, in jedem Mitgliedskonto eine neue IAM-Rolle zu erstellen, die Lesezugriff gewährt. Diese Rolle sollte eine Vertrauensbeziehung zum Sicherheitskonto haben, sodass Benutzer im Sicherheitskonto diese Rolle annehmen können. Dies ist der Standardansatz für den kontoübergreifenden Zugriff in AWS Organizations. Die OrganizationAccountAccessRole ist eine von AWS erstellte Rolle, die standardmäßig vollen Administratorzugriff gewährt und nicht direkt für eingeschränkten Lesezugriff verwendet werden sollte. Eine neue Rolle mit spezifischen Berechtigungen ist sicherer. Die Option, eine IAM-Richtlinie zu erstellen und eine Vertrauensstellung dafür zu konfigurieren, ist falsch, da Vertrauensstellungen für Rollen und nicht für Richtlinien konfiguriert werden. Die Verwendung von AWS STS, um die OrganizationAccountAccessRole direkt anzunehmen, würde zu weitreichenden Berechtigungen führen, die nicht dem Prinzip der geringsten Rechte entsprechen.