Un'azienda ha due account AWS: Produzione e Sviluppo. L'azienda deve eseguire il push delle modifiche al codice dall'account di Sviluppo all'account di Produzione. Nella fase alfa, solo due sviluppatori senior in Sviluppo necessitano dell'accesso a Produzione. Nella fase beta, più sviluppatori avranno bisogno dell'accesso per i test. Quale soluzione soddisfa questi requisiti?

La soluzione corretta prevede la creazione di un ruolo IAM nell'account di Produzione. Questo ruolo avrà una trust policy che consente all'account di Sviluppo di assumerlo. Gli sviluppatori nell'account di Sviluppo possono quindi assumere questo ruolo per accedere alle risorse di Produzione. Questo approccio è sicuro e scalabile, poiché non richiede la creazione di utenti IAM duplicati o la condivisione di credenziali tra account. Le opzioni errate sono: Creare policy in ogni account e assegnarle agli sviluppatori non è scalabile e viola il principio del privilegio minimo, esponendo potenzialmente credenziali. Creare un ruolo IAM nell'account di Sviluppo e concedergli accesso a Produzione non è il meccanismo standard per l'accesso cross-account; il ruolo deve risiedere nell'account che detiene le risorse a cui si vuole accedere. Creare un gruppo IAM nell'account di Produzione e aggiungerlo come principal in una trust policy non è corretto; le trust policy si riferiscono ad account o ruoli, non a gruppi IAM interni.