Firma korzystająca z AWS Organizations musi zapewnić krótkoterminowe poświadczenia zewnętrznym kontom AWS w celu uzyskania dostępu do kont w organizacji, zarówno w przypadku konsoli zarządzania AWS, jak i dostępu do aplikacji SaaS innych firm. Rozwiązanie musi wzmocnić zaufanie, aby zapobiec używaniu tych samych poświadczeń przez dwa zewnętrzne konta, i wymagać minimalnych operacji. Które rozwiązanie spełnia te potrzeby?

Prawidłowa odpowiedź to utworzenie unikalnej roli IAM dla każdego konta zewnętrznego z warunkiem sts:ExternalId w polityce zaufania. ExternalId to unikalny identyfikator, który konto zewnętrzne musi podać podczas próby przejęcia roli, co zapobiega problemowi "zastępcy godnego zaufania" (confused deputy problem), gdzie nieuprawnione konto mogłoby przejąć rolę przeznaczoną dla innego konta. To rozwiązanie wzmacnia zaufanie i wymaga minimalnych operacji. Pozostałe opcje są mniej odpowiednie: Użycie tokenów okaziciela z OAuth/SAML i Amazon Cognito jest złożone i nie rozwiązuje bezpośrednio problemu unikalnego zaufania dla każdego konta zewnętrznego w kontekście ról IAM. Wdrożenie AWS IAM Identity Center (AWS Single Sign-On) jest dobrym rozwiązaniem dla zarządzania tożsamościami w organizacji, ale nie jest optymalne dla dostępu zewnętrznego, gdzie wymagane są krótkoterminowe poświadczenia i unikalne zaufanie dla każdego kontrahenta. Tworzenie losowego klucza zewnętrznego za pomocą AWS Secrets Manager nie jest standardowym mechanizmem do zarządzania zaufaniem dla ról IAM i nie zapewnia takiej samej ochrony jak sts:ExternalId.