Een bedrijf heeft een Amazon S3-bucket die gevoelige gegevensbestanden bevat. Het bedrijf draait een applicatie op virtuele machines in een on-premises datacenter en gebruikt AWS IAM Identity Center. De applicatie heeft tijdelijke toegang nodig tot de S3-objecten. Het bedrijf wil de applicatie veilige toegang verlenen tot de S3-bucket. Welke oplossing voldoet aan deze vereisten?

IAM Roles Anywhere stelt on-premises workloads in staat om tijdelijke AWS-referenties te verkrijgen via IAM Identity Center, zonder permanente AWS-referenties op de virtuele machines op te slaan. Dit verhoogt de beveiliging aanzienlijk, omdat de applicatie alleen tijdelijke, kortstondige referenties gebruikt die automatisch verlopen. De AWS CLI kan worden geconfigureerd om deze rol aan te nemen. Een S3-bucketbeleid op basis van IP-adresbereik is minder veilig en flexibel, omdat het afhankelijk is van statische IP's en geen identiteitsgebaseerde autorisatie biedt. Het installeren van de AWS CLI met toegangssleutels van een IAM-gebruiker of het opslaan van deze sleutels in Secrets Manager introduceert het risico van permanente referenties op de virtuele machine of in een externe service, wat minder veilig is dan tijdelijke referenties.