Een ontwikkelaar implementeert een applicatie op EC2-instanties in Account A. De applicatie moet lezen van een bestaande Amazon Kinesis-datastroom in Account B. Welke acties zijn nodig om de applicatie toegang te verlenen tot de stroom? (Kies twee.)

Om cross-account toegang tot Kinesis te verlenen, moet Account B (de eigenaar van de Kinesis-stroom) een IAM-rol creëren met leesrechten voor die stroom. Deze rol in Account B moet een trust policy hebben die de instance profile role van Account A toestaat om deze rol aan te nemen. Dit is het standaardmechanisme voor cross-account toegang in AWS, waarbij de vragende entiteit (Account A) een rol aanneemt in het doelaccount (Account B) om toegang te krijgen tot resources. Het toevoegen van stream-leesrechten aan de instance profile role in Account A is onvoldoende, omdat de Kinesis-stroom zich in Account B bevindt en de rechten daar moeten worden gedefinieerd. Een resource-based policy op de Kinesis-stroom is niet de primaire methode voor cross-account toegang via IAM-rollen en zou complexer zijn dan het aannemen van een rol. Het toevoegen van een trust policy aan beide rollen die het lezen van de stroom toestaat, is onjuist; de trust policy definieert wie de rol mag aannemen, niet de resource-toegang.