Firma handlowa ma wiele zespołów biznesowych, z których każdy zarządza własnym kontem AWS w ramach AWS Organizations. Każdy zespół przechowuje spis produktów w tabeli DynamoDB na swoim koncie. Centralna aplikacja do raportowania zapasów działa na współdzielonym koncie i musi odczytywać elementy ze wszystkich tabel DynamoDB zespołów. Która opcja uwierzytelniania spełnia te wymagania NAJBEZPIECZNIEJ?

Ta opcja jest najbezpieczniejsza, ponieważ wykorzystuje mechanizm ról IAM do dostępu między kontami. Aplikacja na koncie centralnym przyjmuje rolę (APPROLE), która następnie przyjmuje rolę (BUROLE) na każdym koncie biznesowym. Dzięki temu nie ma potrzeby przechowywania długoterminowych poświadczeń (kluczy dostępu) w aplikacji, co minimalizuje ryzyko ich wycieku. Role IAM zapewniają tymczasowe poświadczenia, które są automatycznie rotowane przez AWS. Pozostałe opcje są mniej bezpieczne: Użycie Secrets Manager z kluczami dostępu nadal wymaga przechowywania kluczy, nawet jeśli są rotowane. Rotacja co 30 dni jest dobra, ale nie eliminuje całkowicie ryzyka. Tworzenie użytkowników IAM i ręczna rotacja kluczy dostępu jest najmniej bezpieczna, ponieważ klucze są długoterminowe i wymagają ręcznej interwencji, co jest podatne na błędy i zaniedbania. AWS Certificate Manager (ACM) służy do zarządzania certyfikatami SSL/TLS dla usług AWS i nie jest mechanizmem uwierzytelniania dla dostępu do DynamoDB w tym kontekście.