Una empresa ejecuta un servicio de monitoreo de infraestructura. La empresa está creando una nueva característica que permitirá que el servicio monitoree datos en las cuentas de AWS de los clientes. La nueva característica llamará a las API de AWS en las cuentas de los clientes para describir instancias de Amazon EC2 y leer métricas de Amazon CloudWatch. ¿Qué debería hacer la empresa para obtener acceso a las cuentas de los clientes de la manera MÁS segura?

La opción correcta es que los clientes creen un rol de IAM en su cuenta con permisos de solo lectura para EC2 y CloudWatch, y una política de confianza que permita a la cuenta de la empresa asumir ese rol. Este es el método más seguro porque utiliza la delegación de roles de IAM entre cuentas, eliminando la necesidad de compartir credenciales de acceso. La política de confianza restringe quién puede asumir el rol, y los permisos de solo lectura adhieren al principio de mínimo privilegio. Las otras opciones son menos seguras: Crear una API sin servidor para tokens temporales es una solución compleja que aún requeriría un mecanismo inicial para asumir un rol o usar credenciales, y no aborda directamente la delegación inicial. Pedir a los clientes que creen un usuario de IAM y almacenar sus claves de acceso es una práctica insegura, ya que las claves de acceso son credenciales de larga duración que, si se ven comprometidas, otorgan acceso persistente. Usar Amazon Cognito para un usuario y almacenar sus credenciales es inapropiado para la integración entre servicios de AWS y presenta riesgos de seguridad similares a almacenar claves de acceso.