Een bedrijf beheert een infrastructuurmonitoringdienst. Het bedrijf bouwt een nieuwe functie waarmee de dienst gegevens in AWS-accounts van klanten kan monitoren. De nieuwe functie zal AWS API's aanroepen in klantaccounts om Amazon EC2-instances te beschrijven en Amazon CloudWatch-metrics te lezen. Wat moet het bedrijf doen om op de MEEST veilige manier toegang te krijgen tot klantaccounts?

De meest veilige manier om toegang te krijgen tot klantaccounts is door klanten een IAM-rol te laten aanmaken met de benodigde alleen-lezen EC2- en CloudWatch-machtigingen. Deze rol moet een trust policy hebben die het account van het bedrijf toestaat om de rol aan te nemen. Dit is veilig omdat het bedrijf geen permanente referenties van de klant opslaat en de klant volledige controle heeft over de machtigingen en wie de rol kan aannemen. Het maken van een serverloze API met een token vending machine is een complexere oplossing die niet direct de meest veilige methode is voor dit specifieke scenario, omdat het nog steeds een onderliggend mechanisme voor toegang vereist. Het aanmaken van een IAM-gebruiker en het opslaan van toegangssleutels is minder veilig, omdat het opslaan van permanente referenties altijd een risico inhoudt. Het gebruik van Amazon Cognito-gebruikers is niet de juiste aanpak voor programmatische toegang tussen AWS-accounts.