컨설팅 에이전시가 보안 감사를 위해 회사 프로덕션 AWS 계정에 임시로 액세스해야 합니다. 여러 컨설턴트가 액세스해야 합니다. 해당 에이전시는 자체 AWS 계정을 가지고 있습니다. 회사는 모든 액세스에 MFA를 의무화하고 장기 자격 증명을 금지합니다. 어떤 솔루션이 이러한 요구 사항을 충족합니까?

정답은 컨설팅 에이전시의 AWS 계정을 principal로 지정하는 IAM 역할을 생성하는 것입니다. 이렇게 하면 컨설턴트가 자신의 AWS 계정을 통해 회사 프로덕션 계정의 역할로 전환할 수 있습니다. 신뢰 정책은 이 역할을 맡을 수 있는 계정을 정의합니다. MFA 요구 사항은 역할의 권한 정책에 조건을 추가하여 충족됩니다. 이 방법은 장기 자격 증명을 생성하지 않고도 여러 컨설턴트에게 임시 액세스를 제공하며, 컨설턴트의 자체 계정에 MFA가 적용되어야 합니다. 오답 설명: 각 컨설턴트에 대해 IAM user를 생성하는 것은 장기 자격 증명을 생성하므로 요구 사항에 위배됩니다. Amazon Cognito는 주로 웹 및 모바일 앱에 대한 사용자 관리에 사용되며, AWS 계정 간의 교차 계정 액세스 시나리오에는 적합하지 않습니다. 신뢰 정책을 역할에 연결하는 것이 아니라 신뢰 정책이 역할을 맡을 수 있는 주체(principal)를 지정해야 합니다.