Un proveedor externo necesita acceso a la cuenta de AWS de la empresa para ejecutar una herramienta automatizada alojada en la propia cuenta de AWS del proveedor. Actualmente, el proveedor no tiene acceso IAM a la cuenta de la empresa. ¿Qué solución proporcionará la forma MÁS segura de otorgar acceso al proveedor?

La opción más segura es crear un rol de IAM en la cuenta de la empresa que delegue el acceso al rol de IAM del proveedor. Esto permite que el proveedor asuma el rol en la cuenta de la empresa sin necesidad de credenciales de usuario de IAM de larga duración. El rol de IAM del proveedor tendrá una política de confianza que especifica la cuenta de la empresa como entidad de confianza, y el rol de la empresa tendrá una política de confianza que especifica el rol de IAM del proveedor. Crear un usuario de IAM en la cuenta de la empresa no es ideal porque requiere la gestión de credenciales de larga duración y podría introducir riesgos de seguridad si las credenciales se ven comprometidas. Crear un grupo de IAM y añadir el usuario de IAM del proveedor a ese grupo no es posible, ya que los usuarios de IAM son específicos de una cuenta y no se pueden añadir a grupos de otra cuenta. Un límite de permisos (permission boundary) se utiliza para limitar los permisos máximos que un usuario o rol puede tener, pero no es un mecanismo para otorgar acceso entre cuentas.