Los auditores externos de una única cuenta de AWS necesitan acceso seguro de solo lectura a la cuenta de AWS de la empresa para auditorías financieras. La solución debe seguir las mejores prácticas de seguridad de AWS. ¿Qué enfoque debe implementar el arquitecto de soluciones?

La creación de un rol de IAM que confíe en la cuenta de AWS de los auditores y la inclusión de un ID externo único en la política de confianza es la mejor práctica de seguridad. Esto permite el acceso de solo lectura sin crear usuarios de IAM permanentes para los auditores en la cuenta de la empresa, lo que reduce la superficie de ataque. El ID externo previene el problema del "confused deputy". Las políticas de recursos en cada recurso son ineficientes y difíciles de mantener a escala. Crear un usuario de IAM y compartir claves de acceso viola el principio de privilegio mínimo y presenta riesgos de seguridad. Crear usuarios de IAM para cada auditor en la cuenta de la empresa es menos seguro que usar un rol de IAM entre cuentas y no es escalable para auditores externos temporales.