La Cuenta A almacena PII en una tabla de DynamoDB llamada PII. Una aplicación que se ejecuta en instancias EC2 en la Cuenta B necesita acceso a esa tabla. En la Cuenta A, se creó un rol de IAM llamado AccessPII con permisos para la tabla PII y una política de confianza que permite a las entidades principales de la Cuenta B asumir el rol. ¿Qué pasos deben realizar los desarrolladores en la Cuenta B para permitir que la aplicación acceda a la tabla PII? (Elija dos)

Para que la aplicación en la Cuenta B acceda a la tabla PII en la Cuenta A, la instancia EC2 debe tener permiso para asumir el rol AccessPII. Esto se logra adjuntando una política al rol de instancia EC2 en la Cuenta B que le otorgue la acción sts:AssumeRole sobre el ARN del rol AccessPII en la Cuenta A. Luego, la aplicación dentro de la instancia EC2 debe llamar a la API AssumeRole de AWS STS, utilizando las credenciales de su propio rol de instancia, para obtener credenciales temporales del rol AccessPII. Estas credenciales temporales son las que la aplicación utilizará para realizar operaciones en la tabla PII de DynamoDB. Otorgar acceso directo a la tabla PII al rol de la instancia EC2 no es posible porque la tabla reside en una cuenta diferente. Usar las credenciales del rol de la instancia EC2 directamente no funcionaría ya que ese rol no tiene permisos para la tabla en la Cuenta A. GetSessionToken se usa para obtener credenciales temporales para un usuario de IAM o un usuario root, no para asumir un rol entre cuentas.