Binnen een AWS Organization met meerdere accounts slaat het sales-account petabytes aan gegevens op in een S3-bucket die is versleuteld met een KMS-sleutel. Het marketing-account gebruikt Amazon QuickSight en heeft toegang nodig tot de S3-gegevens van sales. Marketing heeft de QuickSight-servicerol al in zijn account aangemaakt. U moet veilige cross-account toegang bieden met de minste operationele overhead. Welke oplossing is het beste?

De juiste oplossing is het aanmaken van een IAM-rol in het sales-account met toegang tot de S3-bucket en de KMS-sleutel, en vervolgens de QuickSight-servicerol in het marketing-account toestaan om deze rol aan te nemen. Dit is de standaard en meest veilige methode voor cross-account toegang in AWS, met minimale operationele overhead. De andere opties zijn minder geschikt: S3-replicatie creëert een kopie van de gegevens, wat leidt tot hogere opslagkosten en complexiteit, en is niet nodig voor alleen lees-toegang. Een SCP kan geen toegang verlenen; het beperkt juist machtigingen. AWS RAM kan KMS-sleutels delen, maar een SCP is hier niet de juiste tool. Het bijwerken van het S3-bucketbeleid in het marketing-account om toegang te verlenen tot een bucket in het sales-account is onjuist; het bucketbeleid moet op de bron-bucket (sales) worden toegepast. Een KMS-grant is correct voor decryptie, maar de S3-toegangsmethode is verkeerd.