Konto A betreibt eine Produktions-App auf einer EC2-Instance, die eine DynamoDB-Tabelle in Konto B abfragen muss. Welches ist der SICHERSTE Weg, der EC2-Instance in Konto A Zugriff auf die Tabelle in Konto B zu gewähren?

Die sicherste Methode für den kontoübergreifenden Zugriff ist die Verwendung von IAM-Rollen mit sts:AssumeRole. Konto B, das die Ressource (DynamoDB-Tabelle) besitzt, erstellt eine Rolle mit den erforderlichen Berechtigungen (dynamodb:Query). Die Vertrauensrichtlinie dieser Rolle wird so konfiguriert, dass sie der IAM-Rolle der EC2-Instanz in Konto A erlaubt, diese Rolle zu übernehmen. Die EC2-Instanz in Konto A benötigt dann lediglich die Berechtigung, sts:AssumeRole für diese spezifische Rolle in Konto B aufzurufen. Dies vermeidet die direkte Zuweisung von Berechtigungen über Kontogrenzen hinweg und ermöglicht eine granulare Kontrolle. Die erste Option ist unsicher, da PassRole nicht für den kontoübergreifenden Zugriff auf Ressourcen verwendet wird. Die dritte Option ist nicht möglich, da eine EC2-Instanz-Rolle in Konto A keine direkten Berechtigungen für eine Ressource in Konto B erhalten kann und DynamoDB keine Ressourcenrichtlinien hat, die auf externe IAM-Rollen verweisen können. Die vierte Option ist unsicher, da statische Zugriffsschlüssel ein Sicherheitsrisiko darstellen und nicht empfohlen werden.