Un fournisseur externe exécutera un outil automatisé depuis son propre compte AWS pour effectuer des tâches dans le compte AWS de l'entreprise. Le fournisseur n'a pas d'accès IAM au compte de l'entreprise. Comment un architecte de solutions doit-il accorder l'accès au fournisseur ?

La création d'un rôle IAM dans le compte de l'entreprise avec une politique de confiance qui autorise le compte AWS du fournisseur est la méthode la plus sécurisée et la plus recommandée pour l'accès inter-comptes. Le fournisseur peut ensuite assumer ce rôle depuis son propre compte, obtenant ainsi les autorisations définies dans les politiques attachées au rôle. Cela évite de partager des identifiants ou de créer des utilisateurs IAM pour des entités externes. Créer un utilisateur IAM pour le fournisseur est moins sécurisé car cela implique la gestion de mots de passe ou de clés d'accès. Ajouter l'utilisateur IAM du fournisseur à un groupe n'est pas possible car les utilisateurs IAM sont spécifiques à un compte. Créer un nouveau fournisseur d'identité de type "compte AWS" n'est pas la bonne approche ; la délégation de rôle est le mécanisme approprié pour cela.