Een bedrijf gebruikt identiteitsfederatie om gebruikers te authenticeren in een identiteitsaccount (987654321987), waar ze een IAM-rol genaamd IdentityRole aannemen. Vervolgens nemen ze een IAM-rol genaamd JobFunctionRole aan in het doel-AWS-account (123456789123) om hun taken uit te voeren. Een gebruiker kan de rol in het doelaccount niet aannemen. De rol in het identiteitsaccount heeft een gekoppeld IAM-beleid (niet getoond). Welke wijziging is vereist om de gebruiker de juiste rol in het doelaccount te laten aannemen?

De gebruiker kan de JobFunctionRole in het doelaccount niet aannemen. Dit duidt op een probleem met het trustbeleid van die rol. Het trustbeleid van een IAM-rol definieert welke principals (gebruikers, rollen of AWS-services) gemachtigd zijn om die rol aan te nemen. Om de IdentityRole uit het identiteitsaccount toe te staan de JobFunctionRole in het doelaccount aan te nemen, moet het trustbeleid van de JobFunctionRole expliciet de ARN van de IdentityRole als Principal in een Allow statement opnemen. Het bijwerken van het IAM-beleid gekoppeld aan de rol in het identiteitsaccount zou de permissies van de IdentityRole beïnvloeden, maar niet de mogelijkheid om een andere rol aan te nemen. Het bijwerken van het trustbeleid voor de rol in het identiteitsaccount is irrelevant, aangezien die rol al succesvol is aangenomen. Het bijwerken van het IAM-beleid gekoppeld aan de rol in het doelaccount zou de acties bepalen die de JobFunctionRole kan uitvoeren, niet of deze kan worden aangenomen.