Une agence de conseil a besoin d'un accès temporaire au compte AWS de production d'une entreprise pour un audit de sécurité. Plusieurs consultants auront besoin d'un accès. L'agence possède son propre compte AWS. L'entreprise exige le MFA pour tous les accès et interdit les informations d'identification à long terme. Quelle solution répond à ces exigences ?

La bonne réponse est de créer un rôle IAM dans le compte de production de l'entreprise. Ce rôle aura une politique d'approbation qui autorise le compte AWS de l'agence de conseil à assumer ce rôle, et exigera le MFA pour l'accès. Cette approche permet aux consultants d'utiliser leurs identifiants existants de l'agence, y compris le MFA, pour assumer un rôle temporaire dans le compte de l'entreprise sans créer d'identifiants à long terme dans le compte de production. Les autres options sont incorrectes car : Créer des utilisateurs IAM pour chaque consultant dans le compte de l'entreprise enfreint l'exigence de ne pas avoir d'informations d'identification à long terme et complexifie la gestion. Configurer Amazon Cognito n'est pas la solution la plus simple ou la plus directe pour un accès inter-comptes temporaire avec MFA. Créer un rôle IAM dans le compte de l'agence de conseil ne permettrait pas aux consultants d'accéder au compte de l'entreprise, car le rôle doit résider dans le compte de ressource cible.