ある会社では、ビジネスユニットごとにアカウントを分けてAWS Organizationsの構造を構築しています。すべてのAWS CloudTrailログは、ITガバナンスチームがアクセスできるトップレベルアカウントのAmazon S3バケットに一元化されています。セキュリティエンジニアは、各ビジネスユニットアカウント用にトップレベルアカウントにIAMロールを作成し、そのユニットのログプレフィックスを持つバケットオブジェクトへの読み取り専用アクセスを許可しました。IAMユーザーがCloudTrailログを読み取れるようにするには、各ビジネスユニットアカウントで何をすべきですか？

正解は、IAMユーザーに、トップレベルアカウントで作成されたロールを引き受けることを許可するポリシーをアタッチすることです。これにより、ビジネスユニットのIAMユーザーは、トップレベルアカウントのログバケットにアクセスするための権限を持つロールを一時的に引き受けることができます。ロールのARNを指定することで、どのロールを引き受けるかを明確にします。 サービスコントロールポリシー (SCP) は、組織内のアカウントに適用される最大権限を設定するものですが、IAMユーザーが別のアカウントのロールを引き受けるための直接的なメカニズムではありません。ビジネスユニットアカウントのルートユーザーは、日常的な操作には使用すべきではなく、セキュリティ上のベストプラクティスに反します。トップレベルアカウントのIAMロールの認証情報を共有することは、セキュリティリスクが高く、IAMのベストプラクティスに反します。