Een Lambda-functie in Account A moet objecten lezen uit een S3-bucket die zich in Account B bevindt. De SysOps-beheerder zal IAM-rollen in beide accounts aanmaken om deze toegang mogelijk te maken. Welke rolconfiguratie voldoet aan deze vereiste?

De correcte aanpak voor cross-account toegang is dat de Lambda-functie in Account A een rol aanneemt in Account B. In Account A moet de Lambda-uitvoeringsrol (de rol die de Lambda-functie aanneemt) een trust policy hebben dat het aanroepen van sts:AssumeRole toestaat voor de rol in Account B. In Account B moet een specifieke rol worden gecreëerd met een resource-based policy dat de Lambda-uitvoeringsrol uit Account A toestaat deze rol aan te nemen. Deze rol in Account B moet vervolgens de benodigde machtigingen hebben om toegang te krijgen tot de S3-bucket. Dit is een standaard en veilige methode voor cross-account toegang in AWS. De andere opties zijn incorrect omdat: De Lambda-uitvoeringsrol in Account A kan niet direct toegang krijgen tot de S3-bucket in Account B zonder een cross-account rol. De Lambda-uitvoeringsrol moet in het account zijn waar de functie draait (Account A). De rol in Account B moet niet de Lambda-uitvoeringsrol zijn; het moet een rol zijn die de functie in Account A kan aannemen.