Un proveedor externo ejecutará una herramienta automatizada desde su propia cuenta de AWS para realizar trabajos en la cuenta de AWS de la empresa. El proveedor no tiene acceso IAM a la cuenta de la empresa. ¿Cómo debe un arquitecto de soluciones conceder acceso al proveedor?

La opción correcta es crear un rol de IAM en la cuenta de la empresa y configurar una política de confianza que permita al rol de IAM del proveedor asumir este rol. Esto delega el acceso de forma segura sin compartir credenciales. Las políticas de IAM adjuntas al rol de la empresa definirán los permisos específicos. Crear un usuario de IAM en la cuenta de la empresa no es ideal porque implica gestionar credenciales para un tercero, lo cual es menos seguro y más complejo. Crear un grupo de IAM no es una solución completa, ya que los grupos gestionan permisos para usuarios dentro de la misma cuenta, no para usuarios o roles de cuentas externas. Crear un nuevo proveedor de identidad con "AWS account" es incorrecto. Aunque se usa para federación, no es la forma estándar de delegar acceso entre cuentas de AWS para un rol existente de un tercero; para eso se utiliza la asunción de roles.