Una empresa que utiliza AWS Organizations necesita proporcionar credenciales a corto plazo a cuentas de AWS de terceros para acceder a las cuentas de la organización, tanto para la AWS Management Console como para el acceso a aplicaciones SaaS de terceros. La solución debe fortalecer la confianza para evitar que dos cuentas externas utilicen las mismas credenciales y requerir operaciones mínimas. ¿Qué solución satisface estas necesidades?

La opción correcta es crear un rol de IAM único para cada cuenta externa y añadir la condición sts:ExternalId a la política de confianza. Esto permite que las cuentas externas asuman el rol, y sts:ExternalId es un identificador único que el rol debe esperar del tercero, fortaleciendo la confianza al evitar que dos cuentas externas utilicen las mismas credenciales. Esta solución es escalable y requiere una configuración mínima. Las otras opciones son incorrectas porque: Usar Amazon Cognito con OAuth o SAML es para autenticación de usuarios en APIs, no para acceso entre cuentas AWS o aplicaciones SaaS de terceros con credenciales de corta duración. AWS IAM Identity Center (AWS Single Sign-On) gestiona el acceso de usuarios internos a cuentas AWS y aplicaciones SaaS, pero no está diseñado para proporcionar acceso seguro y de corta duración a cuentas de terceros. Crear un rol de IAM único para cada cuenta externa y usar AWS Secrets Manager para una clave externa aleatoria es menos eficiente y seguro que sts:ExternalId, ya que Secrets Manager no está diseñado para este propósito y requeriría una gestión de claves más compleja.