Un fornitore esterno necessita di accedere all'account AWS dell'azienda per eseguire uno strumento automatizzato ospitato nel proprio account AWS del fornitore. Attualmente il fornitore non ha accesso IAM all'account dell'azienda. Quale soluzione fornirà il modo PIÙ sicuro per concedere l'accesso al fornitore?

Creare un ruolo IAM nell'account dell'azienda e configurarlo per consentire al ruolo IAM del fornitore di assumerlo è il metodo più sicuro per la delega di accesso cross-account. Questo approccio elimina la necessità di condividere credenziali a lungo termine, poiché il fornitore assume temporaneamente il ruolo nell'account dell'azienda, ottenendo autorizzazioni specifiche definite dalle policy allegate al ruolo. Creare un utente IAM nell'account dell'azienda e condividere le credenziali è meno sicuro perché le credenziali a lungo termine possono essere compromesse. Aggiungere l'utente IAM del fornitore a un gruppo IAM nell'account dell'azienda non è possibile, in quanto gli utenti IAM sono specifici per un account. Creare un utente IAM con un permission boundary non è la soluzione più sicura per la delega cross-account; il permission boundary limita le autorizzazioni massime, ma non gestisce la delega cross-account in modo ottimale come un ruolo IAM.