アカウントAのLambda関数が、アカウントBにあるS3バケットからオブジェクトを読み取る必要があります。SysOps管理者は、このアクセスを可能にするために、両方のアカウントでIAMロールを作成します。この要件を満たすロール構成はどれですか？

このシナリオでは、クロスアカウントアクセスを実現するためにIAMロールの委任を使用します。アカウントAのLambda関数は、まずアカウントAで実行ロールを引き受けます。この実行ロールには、アカウントBの特定のロールを引き受ける権限（sts:AssumeRole）が必要です。次に、アカウントBでは、S3バケットへのアクセス権限を持つロールを作成し、その信頼ポリシーでアカウントAのLambda実行ロールがそのロールを引き受けることを許可します。これにより、Lambda関数はアカウントAの実行ロールを介してアカウントBのロールを引き受け、S3バケットにアクセスできるようになります。他の選択肢は、権限の委任の方向や必要なロールの配置が誤っています。例えば、アカウントAのLambda実行ロールに直接アカウントBのS3バケットへのアクセス権限を付与することは、クロスアカウントアクセスでは推奨されません。