Een organisatie gebruikt AWS Organizations met afzonderlijke accounts voor financiën en marketing. De dataverwerkingsapp van het financiële team (in het financiële account) gebruikt Lambda en slaat vertrouwelijke gegevens op in een DynamoDB-tabel. Het marketingteam (in een ander account) mag alleen toegang hebben tot specifieke attributen van die DynamoDB-tabel. Hoe moet een solutions architect het marketingteam de vereiste beperkte toegang geven?

De juiste oplossing is om een IAM-rol in het financiële account te creëren met een beleid dat gedetailleerde toegang tot specifieke DynamoDB-attributen toestaat via IAM-beleidsvoorwaarden (bijv. dynamodb:Attributes). Deze rol moet een trust policy hebben dat het marketingaccount toestaat deze rol aan te nemen. Vervolgens kan een IAM-rol in het marketingaccount worden geconfigureerd om deze cross-account rol aan te nemen. Dit is de standaard en veiligste methode voor cross-account toegang met gedetailleerde machtigingen. Een Service Control Policy (SCP) is ongeschikt omdat SCP's alleen maximale permissies definiëren en geen toegang verlenen; ze kunnen ook geen gedetailleerde toegang op attribuutniveau beheren. Een resource-based beleid op de DynamoDB-tabel zou werken voor gedetailleerde toegang, maar vereist dat het marketingaccount rechtstreeks toegang krijgt tot de tabel, wat minder