ある企業がインフラストラクチャ監視サービスを運営しています。この企業は、顧客のAWSアカウント内のデータを監視できる新しい機能を構築しています。この新機能は、顧客アカウント内のAWS APIを呼び出して、Amazon EC2インスタンスを記述し、Amazon CloudWatchメトリクスを読み取ります。最も安全な方法で顧客アカウントへのアクセスを取得するために、企業は何をすべきですか？

この方法は、クロスアカウントアクセスにIAMロールを使用する、最も安全で推奨されるアプローチです。顧客は自社アカウントにIAMロールを作成し、そのロールにEC2とCloudWatchの読み取り専用権限を付与します。さらに、そのロールの信頼ポリシーを企業のAWSアカウントに設定することで、企業は顧客アカウントのAWS APIを呼び出すことができます。これにより、顧客はアクセスキーやシークレットキーを共有する必要がなく、アクセス権限をきめ細かく制御できます。 トークン自動販売機は、一時的な認証情報を提供しますが、顧客アカウントへのアクセスにはIAMロールがより直接的で管理しやすい方法です。IAMユーザーのアクセスキーとシークレットキーを保存する方法は、セキュリティリスクが高く、推奨されません。Amazon Cognitoはユーザー認証サービスであり、クロスアカウントアクセスには直接関係ありません。