한 회사에서 인프라 모니터링 서비스를 운영하고 있습니다. 이 회사는 고객 AWS 계정의 데이터를 모니터링할 수 있는 새로운 기능을 구축하고 있습니다. 이 새로운 기능은 고객 계정에서 AWS API를 호출하여 Amazon EC2 인스턴스를 설명하고 Amazon CloudWatch 지표를 읽을 것입니다. 회사가 가장 안전한 방법으로 고객 계정에 대한 액세스 권한을 얻으려면 어떻게 해야 할까요?

가장 안전한 방법은 고객 계정에 IAM 역할을 생성하고, 이 역할이 회사 계정을 신뢰하도록 설정하는 것입니다. 이 역할은 EC2 및 CloudWatch에 대한 읽기 전용 권한만 가지므로 최소 권한 원칙을 준수합니다. 회사 계정은 이 역할을 수임하여 고객 계정의 리소스에 안전하게 접근할 수 있으며, 자격 증명을 직접 관리할 필요가 없어 보안 위험을 줄입니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. 토큰 자동 판매기는 복잡하며, 여전히 임시 자격 증명 관리가 필요합니다. IAM 사용자 및 액세스 키를 사용하는 것은 자격 증명 유출 위험이 크고, 키 관리가 어렵습니다. Amazon Cognito 사용자는 주로 웹 또는 모바일 애플리케이션 사용자 인증에 사용되며, AWS 계정 간의 서비스 접근에는 IAM 역할이 더 적합합니다.