Un equipo de diseño actualiza iconos y activos estáticos en una cuenta de desarrollo y luego necesita cargar los activos probados en un bucket de S3 en la cuenta de producción de la empresa. El equipo de diseño debe tener acceso para cargar en el bucket de producción sin exponer otras partes del entorno de producción. ¿Qué combinación de pasos logra esto? (Elija tres).

La solución correcta utiliza la delegación de roles de IAM entre cuentas. Primero, en la cuenta de producción, se crea una política de IAM que otorga acceso de lectura/escritura solo al bucket de S3 específico, garantizando el principio de privilegio mínimo. Luego, se crea un rol de IAM en la cuenta de producción, se le adjunta esta política y su política de confianza se configura para permitir que la cuenta de desarrollo asuma este rol. Finalmente, en la cuenta de desarrollo, se crea un grupo para el equipo de diseño y se le adjunta una política que permite la acción sts:AssumeRole en el rol de la cuenta de producción. Esto permite que los usuarios del equipo de diseño asuman temporalmente el rol en la cuenta de producción para cargar los activos, sin necesidad de credenciales de larga duración en la cuenta de producción. Las opciones incorrectas fallan porque: Crear una política de IAM en la cuenta de desarrollo para un bucket de producción no es suficiente; la política debe existir en la cuenta donde reside el recurso (producción). Crear un rol en la cuenta de desarrollo con una política de confianza para la cuenta de producción no tiene sentido, ya que el rol que se asume debe estar en la cuenta de destino (producción). Permitir sts:AssumeRole en un rol de la cuenta de desarrollo no otorga acceso a la cuenta de producción.