Una empresa tiene un bucket de Amazon S3 que contiene archivos de datos confidenciales. La empresa ejecuta una aplicación en máquinas virtuales en un centro de datos on-premises y utiliza AWS IAM Identity Center. La aplicación requiere acceso temporal a los objetos de S3. La empresa desea otorgar a la aplicación acceso seguro al bucket de S3. ¿Qué solución cumple estos requisitos?

La opción correcta es usar IAM Roles Anywhere. Esta solución permite que las cargas de trabajo que se ejecutan fuera de AWS, como las máquinas virtuales on-premises, obtengan credenciales temporales de AWS utilizando certificados X.509 de una entidad de certificación (CA) de confianza. Esto elimina la necesidad de almacenar credenciales de AWS a largo plazo en el entorno on-premises, mejorando la seguridad al proporcionar acceso temporal y rotatorio al bucket de S3 a través de IAM Identity Center. Las otras opciones son menos seguras o no cumplen con los requisitos: Una política de bucket basada en IP es menos segura, ya que las direcciones IP públicas pueden cambiar o ser suplantadas, y no proporciona credenciales temporales. Usar claves de acceso de un usuario de IAM directamente en la AWS CLI implica almacenar credenciales a largo plazo en las máquinas virtuales, lo cual es un riesgo de seguridad. Almacenar claves de acceso en Secrets Manager y recuperarlas al inicio sigue requiriendo la gestión de credenciales a largo plazo y la complejidad de su recuperación, a diferencia de las credenciales temporales de IAM Roles Anywhere.