Un fornitore esterno eseguirà uno strumento automatizzato dal proprio account AWS per svolgere attività nell'account AWS dell'azienda. Il fornitore non ha accesso IAM all'account dell'azienda. In che modo un architetto di soluzioni dovrebbe concedere l'accesso al fornitore?

La creazione di un ruolo IAM nell'account dell'azienda con una policy di trust che consente al ruolo IAM del fornitore di assumerlo è il metodo più sicuro e consigliato per la delega di accesso tra account AWS. Questo approccio elimina la necessità di condividere credenziali a lungo termine. Le policy IAM allegate al ruolo definiscono le autorizzazioni specifiche necessarie al fornitore, aderendo al principio del privilegio minimo. Creare un utente IAM nell'account dell'azienda non è sicuro perché richiederebbe la condivisione di credenziali. Aggiungere un utente IAM del fornitore a un gruppo IAM nell'account dell'azienda non è possibile, poiché gli utenti IAM sono specifici per un account. Creare un nuovo provider di identità "AWS account" non è il meccanismo corretto per la delega di ruoli tra account; è più adatto per federare identità da sistemi esterni.