Een bedrijf heeft twee AWS-accounts: Production en Development. Het bedrijf moet codewijzigingen van het Development-account naar het Production-account pushen. In de alfafase hebben slechts twee senior ontwikkelaars in Development toegang nodig tot Production. In de bètafase zullen meer ontwikkelaars toegang nodig hebben voor testen. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het aanmaken van een IAM-rol in het Production-account met een trust policy dat het Development-account specificeert. Dit stelt gebruikers in het Development-account in staat om die rol tijdelijk aan te nemen en zo toegang te krijgen tot het Production-account, zonder dat er permanente IAM-gebruikers of -referenties in Production nodig zijn. Dit is een veilige en schaalbare methode voor cross-account toegang. De andere opties zijn minder geschikt: Beleidsdocumenten toewijzen aan individuele ontwikkelaars in elk account is minder schaalbaar en moeilijker te beheren, vooral wanneer meer ontwikkelaars toegang nodig hebben. Een IAM-rol aanmaken in het Development-account en die toegang geven tot Production is onveilig, omdat dit het Development-account de bevoegdheid geeft om toegang tot Production te verlenen. De toegang moet worden verleend vanuit het Production-account zelf. Een IAM-groep aanmaken in het Production-account met een trust policy dat het Production-account specificeert, is geen cross-account oplossing; het zou alleen gebruikers binnen Production toegang geven.