Une entreprise gère un service de surveillance d'infrastructure. L'entreprise développe une nouvelle fonctionnalité qui permettra au service de surveiller les données dans les comptes AWS de ses clients. La nouvelle fonctionnalité appellera les API AWS dans les comptes clients pour décrire les instances Amazon EC2 et lire les métriques Amazon CloudWatch. Que doit faire l'entreprise pour obtenir l'accès aux comptes clients de la manière la PLUS sécurisée ?

La méthode la plus sécurisée pour accéder aux comptes clients est d'utiliser des rôles IAM inter-comptes. Le client crée un rôle IAM dans son propre compte avec les autorisations minimales requises (lecture seule pour EC2 et CloudWatch) et une politique de confiance qui permet au compte de l'entreprise d'assumer ce rôle. Cela évite le partage de clés d'accès permanentes et permet à l'entreprise d'obtenir des informations d'identification temporaires. Les autres options sont moins sécurisées : L'utilisation d'une machine à jetons (token vending machine) est une approche valable pour des applications client, mais la gestion de rôles inter-comptes est plus directe et sécurisée pour l'intégration de services. La création d'utilisateurs IAM et le stockage de leurs clés d'accès présentent un risque de sécurité élevé en cas de compromission du système de gestion des secrets. L'utilisation d'Amazon Cognito est conçue pour l'authentification d'utilisateurs finaux et n'est pas la méthode appropriée pour l'accès de service à service inter-comptes.