Dans une AWS Organization multi-comptes, le compte de vente stocke des pétaoctets dans un compartiment S3 chiffré avec une clé KMS. Le compte marketing utilise Amazon QuickSight et a besoin d'accéder aux données S3 de vente. Le marketing a déjà créé le rôle de service QuickSight dans son compte. Vous devez fournir un accès inter-comptes sécurisé avec le moins de frais opérationnels possible. Quelle est la meilleure solution ?

La bonne approche consiste à utiliser un rôle IAM inter-comptes. Le compte de vente (propriétaire des données) crée un rôle IAM qui accorde l'accès au compartiment S3 et à la clé KMS. Le compte marketing (consommateur des données) configure son rôle QuickSight pour assumer ce rôle IAM. Cela permet un accès sécurisé et granulaire sans dupliquer les données ni modifier les politiques de compartiment S3 du compte de vente de manière trop permissive. L'option de réplication S3 est coûteuse et augmente la complexité opérationnelle en dupliquant les pétaoctets de données. L'utilisation d'un SCP n'est pas adaptée pour accorder un accès aux ressources individuelles, et AWS RAM ne partage pas directement les clés KMS pour le déchiffrement. La modification de la politique de compartiment S3 du compte de vente pour accorder l'accès direct au rôle QuickSight du compte marketing est moins sécurisée et moins granulaire que l'approche basée sur les rôles IAM.