Administrator bezpieczeństwa na własnym koncie AWS potrzebuje dostępu do odczytu w celu sprawdzenia konfiguracji VPC na kilku kontach AWS deweloperów w ramach AWS Organization. Jaki jest najbezpieczniejszy sposób udzielenia tego dostępu?

Najbezpieczniejszym sposobem jest użycie ról IAM między kontami (cross-account roles) z zasadą najmniejszych uprawnień. Utworzenie polityki IAM z uprawnieniami tylko do odczytu dla VPC na każdym koncie dewelopera i dołączenie jej do roli między kontami pozwala administratorowi bezpieczeństwa przejąć tę rolę ze swojego konta, uzyskując tymczasowe uprawnienia bez konieczności udostępniania stałych danych uwierzytelniających. Pozostałe opcje są mniej bezpieczne: Udostępnianie danych uwierzytelniających użytkownika IAM jest ryzykowne i utrudnia zarządzanie dostępem. Przyznawanie pełnych praw administracyjnych do EC2 i VPC narusza zasadę najmniejszych uprawnień. Przyznawanie uprawnień VPC na poziomie administratora również narusza zasadę najmniejszych uprawnień, ponieważ administrator bezpieczeństwa potrzebuje tylko dostępu do odczytu.