Een externe leverancier zal een geautomatiseerde tool vanuit zijn eigen AWS-account uitvoeren om werk te verrichten in het AWS-account van het bedrijf. De leverancier heeft geen IAM-toegang tot het account van het bedrijf. Hoe moet een solutions architect de leverancier toegang verlenen?

De correcte methode is het aanmaken van een IAM-rol in het bedrijfsaccount die de leverancier kan aannemen. Deze rol heeft een trust policy die de IAM-rol van de leverancier toestaat om deze rol aan te nemen, en de benodigde permissies via attached policies. Dit is de veiligste en meest schaalbare manier voor cross-account toegang, omdat er geen credentials worden gedeeld. Het aanmaken van een IAM-gebruiker in het bedrijfsaccount voor de leverancier is onveilig en onpraktisch, omdat dit het delen van credentials vereist. Een IAM-groep kan geen toegang verlenen aan een externe IAM-gebruiker. Het aanmaken van een nieuwe identity provider met "AWS account" is niet de juiste procedure voor dit scenario; dit is meer voor federatie met externe identiteitssystemen, niet voor directe cross-account rol-delegatie.