Een externe leverancier heeft toegang nodig tot het AWS-account van het bedrijf om een geautomatiseerde tool uit te voeren die wordt gehost in het eigen AWS-account van de leverancier. De leverancier heeft momenteel geen IAM-toegang tot het account van het bedrijf. Welke oplossing biedt de MEEST veilige manier om de leverancier toegang te verlenen?

De meest veilige manier om toegang te verlenen aan een externe leverancier is door een IAM rol in het bedrijfsaccount te maken en deze te configureren om de IAM rol van de leverancier te vertrouwen. Dit maakt cross-account toegang mogelijk zonder permanente credentials te delen, wat de beveiliging verhoogt. De leverancier kan dan zijn eigen IAM rol aannemen om toegang te krijgen tot de resources in het bedrijfsaccount. Het aanmaken van een IAM user met een wachtwoord is minder veilig omdat het delen van credentials risico's met zich meebrengt. Het toevoegen van een IAM user van de leverancier aan een IAM groep in het bedrijfsaccount is niet mogelijk; IAM users zijn account-specifiek. Een permission boundary beperkt de maximale permissies van een IAM user, maar lost het probleem van cross-account toegang niet op en is geen vervanging voor een IAM rol voor dit scenario.