Un'azienda che utilizza AWS Organizations deve fornire credenziali a breve termine ad account AWS di terze parti per l'accesso agli account nell'organizzazione, sia per la AWS Management Console che per l'accesso ad applicazioni SaaS di terze parti. La soluzione deve rafforzare la fiducia per impedire a due account esterni di utilizzare le stesse credenziali e richiedere operazioni minime. Quale soluzione soddisfa queste esigenze?

La soluzione corretta è creare un ruolo IAM univoco per ogni account esterno e aggiungere una condizione sts:ExternalId alla policy di trust. Questo approccio garantisce che ogni account esterno utilizzi un identificatore univoco (External ID) per assumere il ruolo, impedendo a due account diversi di utilizzare le stesse credenziali e rafforzando la fiducia. L'External ID è un valore arbitrario che il chiamante deve fornire quando assume il ruolo, e il chiamante deve conoscere sia l'ARN del ruolo che l'External ID. Le altre opzioni non soddisfano i requisiti: L'autenticazione con token bearer con OAuth o SAML e Amazon Cognito è più adatta per l'autenticazione di utenti finali a servizi web, non per l'accesso programmatico tra account AWS. AWS IAM Identity Center (AWS Single Sign-On) è per la gestione centralizzata degli accessi all'interno di un'organizzazione o per l'integrazione con directory esterne, non per fornire credenziali a breve termine ad account di terze parti in modo programmatico con un meccanismo di fiducia rafforzato come l'External ID. Creare un ruolo IAM univoco e una policy di trust è un buon inizio, ma l'uso di AWS Secrets Manager per una chiave esterna casuale non è il meccanismo standard e più efficiente per rafforzare la fiducia in questo scenario; sts:ExternalId è la soluzione nativa e più robusta.