계정 A의 Lambda 함수가 계정 B에 있는 S3 버킷에서 객체를 읽어야 합니다. SysOps 관리자는 이 액세스를 활성화하기 위해 두 계정에 IAM 역할을 생성할 것입니다. 어떤 역할 구성이 이 요구 사항을 충족할까요?

정답은 계정 A의 Lambda 실행 역할이 계정 B의 역할을 수임하고, 계정 B의 역할이 S3 버킷에 접근 권한을 가지도록 설정하는 것입니다. 이는 교차 계정 액세스를 위한 표준적이고 안전한 방법입니다. 계정 A의 Lambda 함수는 자신의 실행 역할을 사용하여 계정 B의 역할을 수임(assume)하고, 수임된 역할의 권한으로 S3 버킷에 접근합니다. 오답 1: 계정 A에서 S3 버킷에 직접 액세스 권한을 부여하는 Lambda 실행 역할을 생성하는 것은 계정 B의 S3 버킷에 직접 권한을 부여하는 것이므로, 교차 계정 역할 수임의 원칙에 맞지 않습니다. 오답 2: 계정 A에서 Lambda 함수가 수임할 역할을 생성하고 계정 B에서 Lambda 실행 역할을 생성하는 것은 역할의 목적과 계정 간의 권한 위임 흐름이 뒤바뀌어 있습니다. 오답 3: 계정 A에서 함수가 수임할 역할을 생성하고 계정 B에서 계정 A의 역할을 수임하는 Lambda 실행 역할을 생성하는 것은 계정 B가 계정 A의 역할을 수임하는 불필요하고 비정상적인 흐름입니다.