Una empresa utiliza la federación de identidades para autenticar usuarios en una cuenta de identidad (987654321987), donde asumen un rol de IAM llamado IdentityRole. Luego asumen un rol de IAM llamado JobFunctionRole en la cuenta de AWS de destino (123456789123) para realizar sus tareas. Un usuario no puede asumir el rol en la cuenta de destino. El rol en la cuenta de identidad tiene una política de IAM adjunta (no mostrada). ¿Qué cambio se requiere para permitir que el usuario asuma el rol apropiado en la cuenta de destino?

La política de confianza de un rol de IAM define quién puede asumir ese rol. En este escenario, el usuario ya asume IdentityRole en la cuenta de identidad. Para que puedan asumir JobFunctionRole en la cuenta de destino, la política de confianza de JobFunctionRole debe permitir que IdentityRole de la cuenta de identidad asuma JobFunctionRole. Por lo tanto, la política de confianza del rol en la cuenta de destino es la que necesita ser actualizada para incluir la cuenta de identidad y el rol IdentityRole como entidad principal permitida. Las otras opciones son incorrectas porque la política adjunta a IdentityRole ya permite la asunción inicial, y la política de confianza de IdentityRole no controla la asunción de roles en otras cuentas. La política de IAM adjunta al rol de destino define los permisos que tendrá el usuario después de asumir el rol, no quién puede asumirlo.