Le compte A stocke des PII dans une table DynamoDB nommée PII. Une application s'exécutant sur des instances EC2 dans le compte B a besoin d'accéder à cette table. Dans le compte A, un rôle IAM AccessPII a été créé avec des autorisations pour la table PII et une politique de confiance permettant aux principaux du compte B d'assumer le rôle. Quelles étapes les développeurs doivent-ils effectuer dans le compte B pour permettre à l'application d'accéder à la table PII ? (Choisissez deux.)

Pour un accès inter-comptes, le rôle d'instance EC2 du compte B doit être autorisé à assumer le rôle AccessPII du compte A. Ceci est réalisé en attachant une politique d'autorisation au rôle d'instance EC2 dans le compte B qui lui permet d'appeler l'action sts:AssumeRole sur l'ARN du rôle AccessPII. Ensuite, l'application s'exécutant sur l'instance EC2 doit appeler l'API AssumeRole pour obtenir des informations d'identification temporaires pour le rôle AccessPII et utiliser ces informations d'identification pour interagir avec la table DynamoDB. Accorder une autorisation directe au rôle d'instance EC2 pour accéder à la table PII dans le compte A est incorrect car cela contournerait le rôle AccessPII et la politique de confiance établie. Demander à l'application d'utiliser directement les informations d'identification du rôle d'instance EC2 est incorrect car ces informations d'identification ne donnent accès qu'aux ressources du compte B, pas du compte A. GetSessionToken est utilisé pour obtenir des informations d'identification temporaires pour un utilisateur IAM ou un rôle existant, mais pas pour assumer un rôle inter-comptes.