Een detailhandelsbedrijf heeft meerdere business teams, die elk hun eigen AWS-account beheren onder AWS Organizations. Elk team slaat productinventaris op in een DynamoDB-tabel in hun account. Een centrale inventarisrapportagetoepassing draait in een gedeeld account en moet items lezen uit de DynamoDB-tabellen van alle teams. Welke authenticatieoptie voldoet HET MEEST veilig aan deze vereisten?

De meest veilige optie is het gebruik van cross-account IAM-rollen. De applicatie in het centrale account neemt een rol (APPROLE) aan, die vervolgens gemachtigd is om rollen (BUROLE) in de afzonderlijke bedrijfsaccounts aan te nemen. Deze BUROLE heeft dan de benodigde permissies om de DynamoDB-tabellen te lezen. Dit elimineert de noodzaak om permanente credentials (zoals access keys) te delen of op te slaan, wat de beveiliging aanzienlijk verhoogt. De optie met Secrets Manager is minder ideaal omdat het nog steeds permanente credentials vereist die beheerd en geroteerd moeten worden. Het aanmaken van IAM-gebruikers met programmatische toegang en het handmatig roteren van keys is onveilig en schaalbaar niet praktisch. AWS Certificate Manager (ACM) wordt gebruikt voor SSL/TLS-certificaten voor websites en applicaties, niet voor authenticatie bij DynamoDB.