Een solutions architect moet teamleden toegang geven tot S3-buckets in twee AWS-accounts: development en production. Teamleden gebruiken al unieke IAM-gebruikers in het development-account en behoren tot een IAM-groep met permissies. De solutions architect heeft een IAM-rol aangemaakt in het production-account die toegang verleent tot de production S3-bucket. Welke oplossing voldoet aan de vereisten en volgt tegelijkertijd het least privilege-principe?

Door het development-account toe te voegen als een principal in het trustbeleid van de IAM-rol in het production-account, kunnen gebruikers uit het development-account die rol aannemen (assume role). Dit is een veilige en conforme methode voor cross-account toegang, omdat het geen nieuwe gebruikers of credentials vereist en het least privilege-principe volgt door specifieke toegang te verlenen via de rol. Het koppelen van Administrator Access is te breed en schendt het least privilege-principe. Het uitschakelen van S3 Block Public Access is een beveiligingsrisico en irrelevant voor cross-account IAM-toegang. Het aanmaken van individuele gebruikers in het production-account is onnodig beheerintensief en gaat voorbij aan de mogelijkheid van cross-account rollen.