Konto A uruchamia aplikację produkcyjną na instancji EC2, która musi wysyłać zapytania do tabeli DynamoDB w Koncie B. Jaki jest NAJBEZPIECZNIEJSZY sposób na udzielenie instancji EC2 w Koncie A dostępu do tabeli w Koncie B?

Najbezpieczniejszym sposobem na udzielenie dostępu między kontami jest użycie ról IAM i funkcji sts:AssumeRole. W Koncie B tworzy się rolę z uprawnieniami do tabeli DynamoDB. Polityka zaufania tej roli określa, że rola instancji EC2 z Konta A może ją przejąć. Następnie, w Koncie A, do roli instancji EC2 dodaje się uprawnienie sts:AssumeRole dla roli z Konta B. To zapewnia dostęp bez udostępniania stałych poświadczeń. Pozostałe opcje są mniej bezpieczne lub nieprawidłowe: Bezpośrednie przyznawanie uprawnień między kontami za pomocą PassRole jest nieprawidłową składnią i nie działa w ten sposób. Modyfikowanie polityki zasobów tabeli DynamoDB oraz roli instancji EC2 jest możliwe, ale AssumeRole jest preferowanym mechanizmem dla dostępu między kontami, ponieważ centralizuje zarządzanie uprawnieniami w Koncie B. Użycie statycznych kluczy dostępu jest najmniej bezpieczne, ponieważ wiąże się z ryzykiem ich ujawnienia i wymaga ręcznego zarządzania rotacją.