Firma używa AWS Organizations do zarządzania setkami kont. Niektóre konta udzielają dostępu zewnętrznym podmiotom AWS poprzez role IAM między kontami i polityki bucketów Amazon S3. Firma musi określić, które zewnętrzne podmioty mają dostęp do których kont. Które rozwiązanie zapewni tę widoczność?

Włączenie AWS IAM Access Analyzer na poziomie organizacji jest najskuteczniejszym rozwiązaniem, ponieważ pozwala na centralne monitorowanie wszystkich zasobów w organizacji, które są udostępniane podmiotom zewnętrznym. Skonfigurowanie organizacji jako strefy zaufania sprawia, że Access Analyzer identyfikuje zewnętrzne podmioty, które mają dostęp do zasobów wewnątrz organizacji, w tym ról IAM i polityk bucketów S3. Filtrowanie wyników według identyfikatora konta AWS pozwala na precyzyjne określenie, które zewnętrzne podmioty mają dostęp do konkretnych kont. Niestandardowa reguła AWS Config może monitorować role IAM, ale nie analizuje efektywnych uprawnień wynikających z polityk bucketów S3 i nie jest tak kompleksowa w identyfikowaniu dostępu zewnętrznego jak Access Analyzer. Amazon Inspector i GuardDuty koncentrują się na ocenie podatności i wykrywaniu zagrożeń, a nie na identyfikowaniu dostępu zewnętrznego do zasobów.