Un fournisseur externe a besoin d'accéder au compte AWS de l'entreprise pour exécuter un outil automatisé hébergé dans son propre compte AWS. Le fournisseur n'a actuellement aucun accès IAM au compte de l'entreprise. Quelle solution offrira le moyen le PLUS sécurisé d'accorder l'accès au fournisseur ?

La création d'un rôle IAM dans le compte de l'entreprise avec une politique d'approbation qui délègue l'accès au rôle IAM du fournisseur est la méthode la plus sécurisée. Cela permet au fournisseur d'assumer le rôle dans le compte de l'entreprise, sans avoir besoin de créer des identifiants permanents (utilisateurs IAM) pour le fournisseur, ce qui réduit le risque de compromission des identifiants. Les autorisations sont gérées via les politiques attachées au rôle, garantissant le principe du moindre privilège. Les autres options sont moins sécurisées : Créer un utilisateur IAM dans le compte de l'entreprise donne au fournisseur des identifiants permanents, augmentant le risque de sécurité. Ajouter l'utilisateur IAM du fournisseur à un groupe IAM dans le compte de l'entreprise n'est pas possible, car les utilisateurs IAM sont spécifiques à un compte. Une limite d'autorisations (permission boundary) restreint les autorisations maximales d'un utilisateur IAM, mais ne délègue pas l'accès de manière sécurisée à un autre compte.