あるコンサルティング会社が、セキュリティ監査のために、ある企業のAWS本番アカウントへの一時的なアクセスを必要としています。複数のコンサルタントがアクセスを必要とします。このコンサルティング会社は独自のAWSアカウントを持っています。この企業は、すべてのアクセスにMFAを義務付け、長期的な認証情報を禁止しています。これらの要件を満たすソリューションはどれですか？

正解は、企業のAWS本番アカウントでIAMロールを作成し、MFAを要求し、コンサルティング会社のAWSアカウントをプリンシパルとして指定する信頼ポリシーを設定することです。これにより、コンサルティング会社のユーザーは、自社のアカウントからMFAを使用して一時的に企業のAWSアカウントにスイッチロールできます。これは長期的な認証情報を禁止し、MFAを義務付ける要件を満たします。 IAMグループとIAMユーザーを作成する方法は、長期的な認証情報（ユーザーのパスワードやアクセスキー）を必要とするため、要件に反します。Amazon Cognitoはユーザー認証サービスであり、クロスアカウントアクセスには直接適していません。コンサルティング会社のアカウントでIAMロールを作成する方法は、企業のAWSアカウントがプリンシパルとして指定されるため、信頼関係が逆になり、機能しません。