アカウントAは、アカウントBのDynamoDBテーブルをクエリする必要があるEC2インスタンスで本番アプリケーションを実行しています。アカウントAのEC2インスタンスにアカウントBのテーブルへのアクセスを許可する最も安全な方法は何ですか？

正解は、クロスアカウントロールを使用する方法です。アカウントBで、DynamoDBテーブルへのクエリ権限を持つIAMロールを作成し、その信頼ポリシーにアカウントAのEC2インスタンスロールを追加します。これにより、アカウントAのEC2インスタンスはsts:AssumeRoleを呼び出してアカウントBのロールを引き受け、DynamoDBテーブルを安全にクエリできます。これは、最小権限の原則に従い、アクセスを厳密に制御する最も安全な方法です。 他の選択肢は以下の理由で不適切です。 アカウントAのEC2インスタンスロールに直接権限を付与する方法は、クロスアカウントアクセスには不十分です。 DynamoDBのリソースポリシーは、DynamoDBテーブル自体にアタッチされるポリシーであり、クロスアカウントアクセスを管理する主要なメカニズムではありません。 静的なアクセスキーを埋め込む方法は、セキュリティ上のリスクが高く、推奨されません。キーの漏洩や管理の複雑さにつながります。