Een bedrijf dat AWS Organizations gebruikt, moet tijdelijke inloggegevens verstrekken aan AWS-accounts van derden voor toegang tot accounts in de organisatie, zowel voor de AWS Management Console als voor toegang tot SaaS-applicaties van derden. De oplossing moet het vertrouwen versterken om te voorkomen dat twee externe accounts dezelfde inloggegevens gebruiken en vereist minimale handelingen. Welke oplossing voldoet aan deze behoeften?

De juiste oplossing is het maken van een unieke IAM-rol voor elk extern account en het toevoegen van een voorwaarde met de sts:ExternalId condition key in het trustbeleid. Deze ExternalId is een willekeurige, unieke waarde die door het externe account moet worden geleverd bij het aannemen van de rol, waardoor het vertrouwen wordt versterkt en wordt voorkomen dat twee externe accounts dezelfde inloggegevens gebruiken. Dit voldoet aan de behoefte aan minimale handelingen, omdat de ExternalId eenmalig kan worden geconfigureerd. De andere opties zijn minder geschikt: Bearer token-authenticatie met OAuth of SAML en Amazon Cognito is meer gericht op applicatie-authenticatie en niet primair op het verlenen van tijdelijke toegang tot AWS-accounts voor derden op een veilige, unieke manier. AWS IAM Identity Center (voorheen AWS Single Sign-On) is een goede oplossing voor het beheren van toegang binnen een organisatie, maar het is niet ontworpen om tijdelijke, unieke inloggegevens te verstrekken aan externe derden op een manier die de ExternalId biedt voor extra beveiliging. Het maken van een willekeurige externe sleutel met AWS Secrets Manager en deze handmatig beheren, is minder efficiënt en schaalbaar dan het gebruik van de ingebouwde sts:ExternalId functionaliteit.