Firma prowadzi usługę monitorowania infrastruktury. Firma tworzy nową funkcję, która umożliwi usłudze monitorowanie danych na kontach AWS klientów. Nowa funkcja będzie wywoływać interfejsy API AWS na kontach klientów w celu opisu instancji Amazon EC2 i odczytywania metryk Amazon CloudWatch. Co firma powinna zrobić, aby uzyskać dostęp do kont klientów w NAJBEZPIECZNIEJSZY sposób?

Najbezpieczniejszym sposobem na dostęp do kont klientów jest użycie ról IAM z polityką zaufania. Klienci tworzą rolę IAM na swoim koncie, nadają jej minimalne niezbędne uprawnienia (tylko do odczytu EC2 i CloudWatch) i konfigurują politykę zaufania, aby zezwolić na przejęcie tej roli przez konto firmy. To podejście eliminuje potrzebę udostępniania stałych poświadczeń (takich jak klucze dostępu), co znacznie zwiększa bezpieczeństwo. Tworzenie bezserwerowego API z token vending machine jest bardziej złożone i niepotrzebne, gdy role IAM są wystarczające. Tworzenie użytkowników IAM i przechowywanie ich kluczy dostępu jest mniej bezpieczne, ponieważ stałe poświadczenia mogą zostać skradzione lub niewłaściwie użyte. Użycie użytkowników Amazon Cognito jest przeznaczone głównie do uwierzytelniania użytkowników końcowych, a nie do dostępu między kontami AWS.