Konto A speichert PII in einer DynamoDB-Tabelle namens PII. Eine Anwendung, die auf EC2-Instances in Konto B läuft, benötigt Zugriff auf diese Tabelle. In Konto A wurde eine IAM-Rolle AccessPII mit Berechtigungen für die PII-Tabelle und einer Trust Policy erstellt, die es Prinzipalen aus Konto B erlaubt, die Rolle zu übernehmen. Welche Schritte sollten Entwickler in Konto B durchführen, um der Anwendung den Zugriff auf die PII-Tabelle zu ermöglichen? (Wählen Sie zwei.)

Um Cross-Account-Zugriff zu ermöglichen, muss die EC2-Instance-Rolle in Konto B die Berechtigung haben, die Rolle AccessPII in Konto A zu übernehmen. Dies wird durch eine entsprechende IAM-Policy an der EC2-Instance-Rolle erreicht. Anschließend ruft die Anwendung auf den EC2-Instanzen die AssumeRole-API auf, um temporäre Sicherheitsanmeldeinformationen für die AccessPII-Rolle zu erhalten. Diese temporären Anmeldeinformationen werden dann verwendet, um auf die PII-Tabelle in Konto A zuzugreifen. Die Option, der EC2-Instance-Rolle direkten Zugriff auf die PII-Tabelle zu geben, ist falsch, da dies die Cross-Account-Rolle in Konto A umgehen würde. Die Anwendung kann nicht direkt die Anmeldeinformationen der EC2-Instance-Rolle verwenden, um auf die PII-Tabelle zuzugreifen, da diese Rolle keine direkten Berechtigungen für Konto A hat. GetSessionToken ist für den Zugriff auf temporäre Anmeldeinformationen für den aktuellen IAM-Benutzer oder die Rolle gedacht und nicht für das Übernehmen einer Rolle in einem anderen Konto.