Een adviesbureau heeft tijdelijk toegang nodig tot het AWS-productieaccount van een bedrijf voor een beveiligingsaudit. Meerdere consultants hebben toegang nodig. Het bureau heeft een eigen AWS-account. Het bedrijf verplicht MFA voor alle toegang en verbiedt langdurige credentials. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om een IAM-rol aan te maken in het productieaccount van het bedrijf. Deze rol moet een trust policy hebben die het AWS-account van het adviesbureau als principal specificeert, zodat gebruikers van dat account de rol kunnen aannemen. De trust policy moet ook een voorwaarde bevatten die MFA vereist, zoals aws:MultiFactorAuthPresent: "true", om te voldoen aan de MFA-eis. Deze aanpak elimineert de noodzaak voor langdurige credentials in het productieaccount en stelt de consultants in staat om hun eigen bestaande AWS-identiteiten te gebruiken, wat de beveiliging en het beheer vereenvoudigt. De andere opties zijn minder geschikt: IAM-gebruikers aanmaken voor elke consultant in het productieaccount creëert langdurige credentials en extra beheerlast. Amazon Cognito is bedoeld voor het beheren van gebruikers voor applicaties en is niet de standaardoplossing voor cross-account toegang voor AWS-beheer. Een IAM-rol aanmaken in het adviesbureau-account met het productieaccount als principal is omgekeerd; de rol die wordt aangenomen moet zich in het doelaccount bevinden.