Eine Beratungsagentur benötigt temporären Zugriff auf das AWS-Produktionskonto eines Unternehmens für ein Sicherheitsaudit. Mehrere Berater benötigen Zugriff. Die Agentur hat ihr eigenes AWS-Konto. Das Unternehmen schreibt MFA für alle Zugriffe vor und verbietet langfristige Anmeldeinformationen. Welche Lösung erfüllt diese Anforderungen?

Die Erstellung einer IAM-Rolle im Produktionskonto des Unternehmens mit einer Vertrauensrichtlinie, die das AWS-Konto der Beratungsagentur als Prinzipal angibt und MFA erfordert, ist die sicherste und effizienteste Lösung. Die Berater können sich mit ihren eigenen Anmeldeinformationen im AWS-Konto der Beratungsagentur authentifizieren und dann die Rolle im Produktionskonto des Unternehmens übernehmen. Dies vermeidet die Erstellung langfristiger Anmeldeinformationen im Produktionskonto und erfüllt die MFA-Anforderung. Die Erstellung individueller IAM-Benutzer im Produktionskonto verletzt die Anforderung, keine langfristigen Anmeldeinformationen zu verwenden. Amazon Cognito ist für die Benutzerverwaltung von Anwendungen gedacht, nicht für den Zugriff auf AWS-Konten durch externe Berater. Eine IAM-Rolle im AWS-Konto der Beratungsagentur mit dem Produktionskonto des Unternehmens als Prinzipal ist falsch herum konfiguriert; die Rolle muss sich im Zielkonto befinden.