In un'AWS Organization multi-account, l'account di vendita (sales account) archivia petabyte in un bucket S3 crittografato con una chiave KMS. L'account di marketing utilizza Amazon QuickSight e necessita di accedere ai dati S3 dell'account di vendita. L'account di marketing ha già creato il ruolo di servizio QuickSight nel proprio account. È necessario fornire un accesso cross-account sicuro con il minimo overhead operativo. Qual è la soluzione migliore?

La soluzione migliore è creare un ruolo IAM nell'account di vendita che conceda l'accesso al bucket S3. L'account di marketing può quindi configurare il proprio ruolo QuickSight per assumere questo ruolo IAM (cross-account role assumption) per accedere ai dati. Questo approccio è sicuro e ha un overhead operativo minimo perché non richiede la duplicazione dei dati o la gestione di più chiavi KMS. Creare un nuovo bucket S3 e replicare i dati aumenta i costi di archiviazione e l'overhead di gestione. Le SCP non concedono autorizzazioni, ma piuttosto limitano le autorizzazioni massime. Aggiornare la policy del bucket S3 nell'account di marketing non è corretto, poiché il bucket si trova nell'account di vendita. Creare una concessione KMS sulla chiave dell'account di vendita per il ruolo QuickSight è un passo necessario per la decrittografia, ma non risolve l'accesso al bucket S3 stesso.