Uno sviluppatore distribuisce un'applicazione su istanze EC2 nell'Account A. L'applicazione deve leggere da un data stream Amazon Kinesis esistente nell'Account B. Quali azioni sono necessarie per concedere all'applicazione l'accesso allo stream? (Scegliere due.)

Per consentire a un'applicazione nell'Account A di accedere a un Kinesis stream nell'Account B, è necessario implementare un meccanismo di cross-account role assumption. Innanzitutto, si crea un ruolo IAM nell'Account B con le autorizzazioni necessarie per leggere dallo stream Kinesis. Questo ruolo definisce cosa può essere fatto con lo stream. Successivamente, si aggiunge una trust policy a questo ruolo nell'Account B. Questa trust policy specifica che il ruolo del profilo dell'istanza delle istanze EC2 nell'Account A è un'entità fidata che può assumere questo ruolo. Infine, il ruolo del profilo dell'istanza nell'Account A deve avere le autorizzazioni per chiamare l'API sts:AssumeRole sul ruolo creato nell'Account B. Questo permette all'applicazione di assumere il ruolo nell'Account B e, di conseguenza, di accedere allo stream Kinesis. L'opzione di aggiungere le autorizzazioni di lettura dello stream al ruolo del profilo dell'istanza nell'Account A è insufficiente da sola, poiché lo stream si trova in un account diverso. L'opzione di allegare una policy basata sulle risorse allo stream Kinesis non è il metodo standard o più sicuro per l'accesso cross-account in questo scenario, specialmente quando si tratta di un'applicazione su EC2 che necessita di credenziali temporanee.