Firma posiada dwa konta AWS: Produkcyjne i Deweloperskie. Firma musi przesyłać zmiany kodu z konta Deweloperskiego na konto Produkcyjne. W fazie alfa tylko dwóch starszych programistów z działu Deweloperskiego potrzebuje dostępu do konta Produkcyjnego. W fazie beta więcej programistów będzie potrzebowało dostępu do testowania. Które rozwiązanie spełnia te wymagania?

Prawidłowe rozwiązanie to utworzenie roli IAM na koncie Produkcyjnym z polityką zaufania, która określa konto Deweloperskie. Pozwala to programistom z konta Deweloperskiego na przejęcie tej roli i uzyskanie tymczasowego dostępu do konta Produkcyjnego bez konieczności tworzenia użytkowników IAM na koncie Produkcyjnym. Jest to bezpieczne i skalowalne podejście, ponieważ w fazie beta wystarczy dodać więcej programistów do odpowiedniej grupy na koncie Deweloperskim, aby uzyskali dostęp. Tworzenie polityk na każdym koncie i przypisywanie ich programistom jest mniej skalowalne i wymaga zarządzania wieloma politykami. Tworzenie roli IAM na koncie Deweloperskim z dostępem do konta Produkcyjnego jest odwrotnością prawidłowego rozwiązania i nie jest standardową praktyką w AWS dla dostępu między kontami. Tworzenie grupy IAM na koncie Produkcyjnym i dodawanie jej jako podmiotu w polityce zaufania konta Produkcyjnego nie umożliwia dostępu z konta Deweloperskiego.