Agencja konsultingowa potrzebuje tymczasowego dostępu do produkcyjnego konta AWS firmy w celu przeprowadzenia audytu bezpieczeństwa. Wielu konsultantów będzie wymagało dostępu. Agencja posiada własne konto AWS. Firma wymaga MFA dla każdego dostępu i zabrania używania długoterminowych poświadczeń. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to utworzenie roli IAM na koncie produkcyjnym firmy z polityką zaufania, która wymaga MFA i określa konto AWS agencji konsultingowej jako podmiot. To rozwiązanie umożliwia konsultantom agencji przejęcie roli (assume role) na koncie firmy, wykorzystując ich własne poświadczenia z konta agencji. Polityka zaufania na koncie firmy określa, które konto (agencji) może przejmować tę rolę, a warunek MFA w polityce roli wymusza uwierzytelnianie wieloskładnikowe przy każdym przejęciu roli, spełniając wymagania bezpieczeństwa i zakaz używania długoterminowych poświadczeń. Nieprawidłowe opcje: Tworzenie użytkowników IAM dla każdego konsultanta na koncie firmy jest niewskazane, ponieważ wymagałoby zarządzania wieloma użytkownikami zewnętrznymi i ich poświadczeniami, co jest sprzeczne z zasadą minimalnych uprawnień i zwiększa obciążenie administracyjne. Konfiguracja Amazon Cognito jest rozwiązaniem do zarządzania tożsamościami dla aplikacji, a nie do dostępu międzykontowego dla audytorów. Tworzenie roli IAM na koncie agencji konsultingowej z polityką zaufania, która określa konto firmy jako podmiot, jest nieprawidłowe, ponieważ rola musi znajdować się na koncie docelowym (firmy), aby można było ją przejąć.