한 회사에서 자격 증명 연동(identity federation)을 사용하여 ID 계정(987654321987)에 사용자를 인증하고, 여기서 IdentityRole이라는 IAM 역할을 맡습니다. 그런 다음 대상 AWS 계정(123456789123)에서 JobFunctionRole이라는 IAM 역할을 맡아 업무를 수행합니다. 사용자가 대상 계정에서 역할을 맡을 수 없습니다. ID 계정의 역할에는 IAM 정책이 연결되어 있습니다(표시되지 않음). 사용자가 대상 계정에서 적절한 역할을 맡을 수 있도록 하려면 어떤 변경이 필요합니까?

사용자가 한 AWS 계정에서 다른 계정으로 역할을 전환하려면, 대상 계정의 IAM 역할 신뢰 정책이 원본 계정(ID 계정)의 역할을 신뢰하도록 명시적으로 허용해야 합니다. 이는 sts:AssumeRole 작업을 통해 이루어집니다. 신뢰 정책은 해당 역할을 맡을 수 있는 주체를 정의합니다. 따라서 대상 계정의 JobFunctionRole에 대한 신뢰 정책을 업데이트하여 ID 계정의 IdentityRole이 해당 역할을 맡을 수 있도록 허용해야 합니다. ID 계정의 역할에 연결된 IAM 정책은 해당 역할이 수행할 수 있는 작업을 정의하지만, 다른 계정의 역할을 맡는 것을 허용하는 것은 아닙니다. ID 계정의 역할에 대한 신뢰 정책은 해당 ID 계정 내에서 해당 역할을 맡을 수 있는 주체를 정의하며, 다른 계정의 역할을 맡는 것과는 관련이 없습니다. 대상 계정의 역할에 연결된 IAM 정책은 해당 역할이 대상 계정 내에서 수행할 수 있는 작업을 정의하지만, 역할을 맡는 주체를 정의하지는 않습니다.