Konto A przechowuje dane PII w tabeli DynamoDB o nazwie PII. Aplikacja działająca na instancjach EC2 w Koncie B potrzebuje dostępu do tej tabeli. W Koncie A utworzono rolę IAM AccessPII z uprawnieniami do tabeli PII i polityką zaufania zezwalającą podmiotom z Konta B na przejęcie tej roli. Jakie kroki powinni wykonać deweloperzy w Koncie B, aby umożliwić aplikacji dostęp do tabeli PII? (Wybierz dwie odpowiedzi.)

Aby aplikacja w Koncie B mogła uzyskać dostęp do tabeli DynamoDB w Koncie A, należy zastosować mechanizm przejmowania ról IAM. Po pierwsze, rola instancji EC2 w Koncie B musi mieć uprawnienia do wywołania akcji sts:AssumeRole na roli AccessPII w Koncie A. To pozwala instancji EC2 na przyjęcie tej roli. Po drugie, sama aplikacja działająca na instancji EC2 musi programowo wywołać operację API AssumeRole z AWS Security Token Service (STS), aby uzyskać tymczasowe poświadczenia dla roli AccessPII. Te tymczasowe poświadczenia (klucz dostępu, tajny klucz dostępu i token sesji) są następnie używane przez aplikację do wykonywania operacji na tabeli DynamoDB w Koncie A. Bezpośrednie przyznawanie roli instancji EC2 uprawnień do tabeli PII w Koncie A jest nieprawidłowe, ponieważ tabela znajduje się w innym koncie, a bezpośrednie uprawnienia między kontami nie są najlepszą praktyką. Aplikacja nie może używać bezpośrednio poświadczeń roli instancji EC2 do dostępu do zasobów w innym koncie, ponieważ rola instancji ma uprawnienia tylko w swoim własnym koncie. GetSessionToken jest używane do uzyskiwania tymczasowych poświadczeń dla użytkowników IAM, a nie do przejmowania ról między kontami.