ある組織では、AWS Organizations を利用して、財務部門とマーケティング部門でアカウントを分けています。財務チームのデータ処理アプリケーション（財務アカウント内）は Lambda を使用し、機密データを DynamoDB テーブルに保存しています。マーケティングチーム（別のアカウント内）は、その DynamoDB テーブルの特定の属性にのみアクセスできる必要があります。ソリューションアーキテクトは、マーケティングチームに必要な制限付きアクセスをどのように提供すべきですか？

正解は、クロスアカウントアクセスにIAMロールを使用する方法です。財務アカウントで、特定のDynamoDB属性へのきめ細かなアクセスを許可するIAMポリシーを持つロールを作成し、マーケティングアカウントからの引き受けを信頼します。マーケティングアカウントは、このロールを引き受けることで、必要なアクセス権を取得します。 SCPは組織内のアカウントに適用されるガードレールであり、アクセス許可を付与するものではありません。リソースベースのポリシーはDynamoDBテーブルに直接アタッチできますが、クロスアカウントのきめ細かなアクセス制御にはIAMロールと信頼ポリシーの組み合わせがより一般的で管理しやすい方法です。IAMアクセス許可の境界は、ロールが持つことができる最大アクセス許可を定義しますが、特定の属性へのきめ細かなアクセスを直接付与するものではありません。