다중 계정 AWS Organization에서 영업 계정은 KMS 키로 암호화된 S3 버킷에 페타바이트를 저장합니다. 마케팅 계정은 Amazon QuickSight를 사용하며 영업 S3 데이터에 액세스해야 합니다. 마케팅은 이미 해당 계정에 QuickSight 서비스 역할을 생성했습니다. 운영 오버헤드가 가장 적은 안전한 교차 계정 액세스를 제공해야 합니다. 어떤 솔루션이 가장 좋습니까?

정답은 영업 계정에 S3 버킷에 대한 액세스 권한을 부여하는 IAM 역할을 생성하고, 마케팅 계정에서 해당 IAM 역할을 assume하여 영업 S3 버킷에 액세스하며, QuickSight 역할을 업데이트하여 영업 계정의 새 IAM 역할을 신뢰하고 사용하도록 하는 것입니다. 이 방법은 최소한의 운영 오버헤드로 안전한 교차 계정 액세스를 제공합니다. 영업 계정의 IAM 역할은 S3 버킷과 KMS 키에 대한 접근 권한을 QuickSight에 위임하여, QuickSight가 데이터에 직접 접근할 수 있도록 합니다. 오답인 S3 복제는 데이터 중복을 발생시키고 추가 스토리지 비용을 초래하며, 페타바이트 규모의 데이터에는 비효율적입니다. SCP는 권한을 제한하는 데 사용되지만, 직접적인 교차 계정 액세스를 부여하는 메커니즘이 아니며, AWS RAM을 통한 KMS 키 공유는 복잡성을 증가시킵니다. 마케팅 계정의 S3 버킷 정책을 업데이트하고 KMS grant를 생성하는 것은 영업 계정의 S3 버킷이 아닌 마케팅 계정의 버킷에 대한 액세스를 다루는 것이므로 문제의 요구 사항과 맞지 않습니다.