Un'azienda utilizza la federazione delle identità per autenticare gli utenti in un account di identità (987654321987), dove assumono un ruolo IAM denominato IdentityRole. Successivamente, assumono un ruolo IAM denominato JobFunctionRole nell'account AWS di destinazione (123456789123) per svolgere le proprie mansioni. Un utente non riesce ad assumere il ruolo nell'account di destinazione. Il ruolo nell'account di identità ha una policy IAM allegata (non mostrata). Quale modifica è necessaria per consentire all'utente di assumere il ruolo appropriato nell'account di destinazione?

Per consentire a un utente di assumere un ruolo in un account AWS diverso (cross-account role assumption), la trust policy del ruolo di destinazione deve esplicitamente fidarsi dell'account o del ruolo che tenta di assumerlo. In questo scenario, l'utente assume prima IdentityRole nell'account di identità (987654321987) e poi tenta di assumere JobFunctionRole nell'account di destinazione (123456789123). Pertanto, la trust policy di JobFunctionRole nell'account di destinazione deve essere modificata per consentire all'account di identità (o specificamente a IdentityRole all'interno di quell'account) di assumerlo. Le altre opzioni sono errate perché: Aggiornare la policy IAM allegata al ruolo nell'account di identità non risolve il problema di fiducia tra gli account. Quella policy definisce le autorizzazioni di IdentityRole, non chi può assumere JobFunctionRole. Aggiornare la trust policy sul ruolo nell'account di identità non è rilevante; quella trust policy definisce chi può assumere IdentityRole, non chi può assumere JobFunctionRole. Aggiornare la policy IAM allegata al ruolo nell'account di destinazione definisce le autorizzazioni di JobFunctionRole una volta assunto, non chi può assumerlo.