Account A slaat PII op in een DynamoDB-tabel genaamd PII. Een applicatie die draait op EC2-instances in Account B heeft toegang nodig tot die tabel. In Account A is een IAM-rol AccessPII aangemaakt met permissies voor de PII-tabel en een trust policy die principals van Account B toestaat de rol aan te nemen. Welke stappen moeten ontwikkelaars in Account B uitvoeren om de applicatie toegang te geven tot de PII-tabel? (Kies twee.)

Om cross-account toegang te verlenen, moet de EC2-instancerol in Account B expliciet toestemming krijgen om de AccessPII-rol in Account A aan te nemen. Dit wordt gedaan door een beleid aan de EC2-instancerol te koppelen dat de sts:AssumeRole-actie toestaat voor de ARN van de AccessPII-rol. Vervolgens moet de applicatie op de EC2-instance de AssumeRole API-aanroep uitvoeren, waarbij de ARN van de AccessPII-rol wordt opgegeven. Dit retourneert tijdelijke beveiligingsreferenties die de applicatie kan gebruiken om toegang te krijgen tot de PII-tabel in Account A. De optie om de EC2-instancerol directe permissie te geven voor de PII-tabel in Account A is onjuist, omdat de trust policy van de AccessPII-rol dit intermediaire mechanisme vereist. De applicatie kan de credentials van de EC2-instancerol niet direct gebruiken voor de PII-tabel in Account A, omdat deze credentials alleen geldig zijn binnen Account B. GetSessionToken is bedoeld voor het verkrijgen van tijdelijke credentials voor de huidige identiteit, niet voor het aannemen van een andere rol in een ander account.