Una organización utiliza AWS Organizations con cuentas separadas para finanzas y marketing. La aplicación de procesamiento de datos del equipo de finanzas (en la cuenta de finanzas) utiliza Lambda y almacena datos confidenciales en una tabla de DynamoDB. El equipo de marketing (en una cuenta diferente) debe tener acceso solo a atributos específicos de esa tabla de DynamoDB. ¿Cómo debe un arquitecto de soluciones proporcionar al equipo de marketing el acceso limitado requerido?

La respuesta correcta es la que describe la creación de un rol de IAM en la cuenta de finanzas con una política de acceso detallado a atributos específicos de DynamoDB, estableciendo una relación de confianza para que la cuenta de marketing pueda asumir este rol. Luego, en la cuenta de marketing, se crea un rol de IAM que puede asumir el rol de la cuenta de finanzas. Este es el método estándar y seguro para el acceso entre cuentas con permisos granulares en AWS. Las SCPs (Service Control Policies) son políticas a nivel de organización que establecen límites máximos de permisos, no otorgan acceso directamente. Una política basada en recursos en DynamoDB podría funcionar, pero el patrón de rol de IAM entre cuentas es más flexible y escalable para gestionar accesos entre unidades organizativas. Los límites de permisos de IAM (Permissions Boundaries) definen el permiso máximo que una identidad puede tener, pero no otorgan permisos; se necesitan políticas de IAM adicionales para otorgar el acceso real.