Een ontwikkelaar moet MFA gebruiken om toegang te krijgen tot gegevens in een S3-bucket die zich in een ander AWS-account bevindt. Welke AWS STS API-bewerking moet worden aangeroepen met de MFA-informatie om aan deze vereiste te voldoen?

De AssumeRole API-bewerking is de juiste keuze omdat deze het mogelijk maakt om tijdelijke beveiligingsreferenties (access key ID, secret access key en session token) te verkrijgen voor een IAM-rol. Deze rol kan vervolgens worden gebruikt om toegang te krijgen tot resources, inclusief S3-buckets, in een ander AWS-account. Wanneer MFA is ingeschakeld op de IAM-gebruiker die de AssumeRole aanroept, kan de MFA-informatie (zoals de MFA-apparaat-ID en de MFA-code) worden doorgegeven als parameters aan de AssumeRole aanroep. Dit zorgt ervoor dat de sessie alleen wordt gecreëerd nadat de MFA-verificatie succesvol is afgerond. AssumeRoleWithWebIdentity is voor identiteitsfederatie met web-gebaseerde providers zoals Amazon Cognito, Google, Facebook. GetFederationToken is voor het verkrijgen van tijdelijke referenties voor een IAM-gebruiker, niet voor het aannemen van een rol in een ander account. AssumeRoleWithSAML is specifiek voor identiteitsfederatie met SAML 2.0-compatibele providers.