Une entreprise possède un bucket Amazon S3 qui contient des fichiers de données sensibles. L'entreprise exécute une application sur des machines virtuelles dans un centre de données sur site et utilise AWS IAM Identity Center. L'application nécessite un accès temporaire aux objets S3. L'entreprise souhaite accorder à l'application un accès sécurisé au bucket S3. Quelle solution répond à ces exigences ?

IAM Roles Anywhere est la solution la plus sécurisée et scalable pour les applications sur site nécessitant un accès temporaire aux ressources AWS. Il permet aux charges de travail hors AWS d'obtenir des informations d'identification temporaires via des certificats X.509, sans stocker de clés d'accès à long terme. L'intégration avec IAM Identity Center simplifie la gestion des identités. L'option de la politique de bucket basée sur l'IP n'est pas sécurisée car les adresses IP publiques peuvent changer ou être usurpées, et elle ne fournit pas de gestion d'identité granulaire. L'installation de l'AWS CLI avec des clés d'accès d'utilisateur IAM est une mauvaise pratique de sécurité car elle implique le stockage de clés permanentes sur la VM, augmentant le risque de compromission. De même, stocker les clés d'accès et les clés secrètes dans Secrets Manager, bien que mieux que de les stocker directement sur la VM, nécessite toujours la gestion de clés permanentes et l'application doit être configurée pour les récupérer, ce qui est moins sécurisé et plus complexe que l'utilisation de rôles temporaires via IAM Roles Anywhere.