Un'agenzia di consulenza necessita di accesso temporaneo all'account AWS di produzione di un'azienda per un audit di sicurezza. Diversi consulenti richiederanno l'accesso. L'agenzia ha il proprio account AWS. L'azienda impone l'MFA per tutti gli accessi e proibisce le credenziali a lungo termine. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare un ruolo IAM nell'account di produzione dell'azienda con una policy di trust che richiede l'MFA e specifica l'account AWS dell'agenzia di consulenza come principal. Questo permette ai consulenti dell'agenzia di assumere il ruolo nell'account dell'azienda, ottenendo accesso temporaneo e federato. La policy di trust garantisce che solo gli utenti autenticati dall'account dell'agenzia possano assumere il ruolo, e il requisito MFA dell'azienda viene rispettato. Le credenziali a lungo termine sono evitate poiché i consulenti utilizzano le proprie credenziali federate. Le altre opzioni non sono ideali: Creare utenti IAM per ogni consulente nell'account dell'azienda non è scalabile e viola il principio di accesso temporaneo e federato. Amazon Cognito è per la gestione di utenti di applicazioni, non per l'accesso cross-account tra account AWS. Creare un ruolo nell'account dell'agenzia di consulenza con una policy di trust che specifica l'account di produzione dell'azienda come principal è invertito; il ruolo deve risiedere nell'account che concede l'accesso (l'azienda).