Una empresa utiliza AWS Organizations para administrar cientos de cuentas. Algunas cuentas otorgan acceso a entidades principales externas de AWS a través de roles de IAM de cuenta cruzada y políticas de bucket de Amazon S3. La empresa necesita determinar qué entidades principales externas tienen acceso a qué cuentas. ¿Qué solución proporcionará esta visibilidad?

La opción correcta es habilitar AWS Identity and Access Management Access Analyzer a nivel de la organización y configurar la organización como una zona de confianza. Access Analyzer está diseñado específicamente para identificar recursos compartidos con entidades externas a la organización, incluyendo roles de IAM de cuenta cruzada y políticas de bucket de S3. Al configurar la organización como una zona de confianza, Access Analyzer solo reportará accesos que provengan de fuera de la organización, lo que es precisamente lo que la empresa necesita. Filtrar por ID de cuenta de AWS permitirá identificar qué entidades externas tienen acceso a cuentas específicas. Las otras opciones son incorrectas porque: AWS Config puede monitorear cambios, pero no está diseñado para analizar el acceso externo de la misma manera que Access Analyzer. Amazon Inspector se enfoca en vulnerabilidades y desviaciones de las mejores prácticas, no en el análisis de acceso externo. Amazon GuardDuty es un servicio de detección de amenazas que identifica actividades maliciosas o no autorizadas, no un analizador de acceso a recursos.