Architekt rozwiązań musi umożliwić członkom zespołu dostęp do zasobników S3 w dwóch kontach AWS: deweloperskim (development) i produkcyjnym (production). Członkowie zespołu używają już unikalnych użytkowników IAM na koncie deweloperskim i należą do grupy IAM z uprawnieniami. Architekt rozwiązań utworzył rolę IAM na koncie produkcyjnym, która udziela dostępu do zasobnika S3 konta produkcyjnego. Które rozwiązanie spełnia wymagania, jednocześnie przestrzegając zasady najmniejszych uprawnień (least privilege)?

Poprawna odpowiedź to dodanie konta deweloperskiego jako podmiotu (principal) do polityki zaufania roli na koncie produkcyjnym. Umożliwia to użytkownikom IAM z konta deweloperskiego przejęcie roli (assume role) na koncie produkcyjnym, uzyskując tymczasowe poświadczenia do zasobnika S3. Jest to zgodne z zasadą najmniejszych uprawnień, ponieważ użytkownicy nie mają bezpośrednich uprawnień na koncie produkcyjnym, a dostęp jest udzielany tylko za pośrednictwem roli. Dołączenie polityki Administrator Access jest zbyt szerokie i narusza zasadę najmniejszych uprawnień. Wyłączenie S3 Block Public Access jest niebezpieczne i naraża zasobnik na publiczny dostęp. Tworzenie oddzielnych użytkowników na koncie produkcyjnym dla każdego członka zespołu jest nieefektywne i trudne w zarządzaniu, zwłaszcza w przypadku dużej liczby użytkowników.