Organizacja używa AWS Organizations z oddzielnymi kontami dla finansów i marketingu. Aplikacja zespołu finansowego do przetwarzania danych (na koncie finansowym) używa Lambda i przechowuje poufne dane w tabeli DynamoDB. Zespół marketingowy (na innym koncie) musi mieć dostęp tylko do określonych atrybutów tej tabeli DynamoDB. W jaki sposób architekt rozwiązań powinien zapewnić zespołowi marketingowemu wymagany ograniczony dostęp?

Prawidłowa odpowiedź to stworzenie roli IAM na koncie finansowym z polityką warunkową, która precyzyjnie określa dostęp do atrybutów DynamoDB, a następnie ustanowienie zaufania, aby konto marketingowe mogło przejąć tę rolę. Na koncie marketingowym należy utworzyć rolę, która może przejąć rolę z konta finansowego. To podejście zapewnia bezpieczny, szczegółowy dostęp między kontami, zgodnie z zasadą najmniejszych uprawnień. Utworzenie SCP jest nieodpowiednie, ponieważ SCP służą do ustawiania maksymalnych uprawnień dla kont w OU, a nie do udzielania szczegółowego dostępu do zasobów. Polityka oparta na zasobach dla DynamoDB jest możliwa, ale wymagałaby zarządzania uprawnieniami bezpośrednio na zasobie, co może być mniej elastyczne niż role IAM do delegowania dostępu między kontami. Granice uprawnień IAM są używane do ustawiania maksymalnych uprawnień dla tożsamości IAM, a nie do definiowania szczegółowego dostępu do danych w DynamoDB.