Une fonction Lambda du compte A doit lire des objets à partir d'un compartiment S3 qui réside dans le compte B. L'administrateur SysOps va créer des rôles IAM dans les deux comptes pour permettre cet accès. Quelle configuration de rôle satisfera cette exigence ?

La bonne approche pour l'accès inter-comptes est de créer un rôle d'exécution Lambda dans le compte A qui a une politique de confiance lui permettant d'assumer un rôle dans le compte B. Dans le compte B, un rôle distinct est créé avec une politique d'autorisation qui accorde l'accès au compartiment S3 et une politique de confiance qui permet au rôle du compte A de l'assumer. Cela établit une chaîne de confiance sécurisée. Les autres options sont incorrectes car : Accorder un accès direct au compartiment S3 depuis le compte A violerait le principe du moindre privilège et ne serait pas une pratique sécurisée pour l'accès inter-comptes. Inverser les rôles d'exécution et assumables entre les comptes ne fonctionnerait pas car la fonction Lambda a besoin d'un rôle d'exécution dans son propre compte pour démarrer. Demander au rôle du compte B d'assumer un rôle dans le compte A ne permettrait pas à la fonction Lambda du compte A d'accéder aux ressources du compte B.