W organizacji AWS z wieloma kontami, konto sprzedażowe (sales account) przechowuje petabajty danych w zasobniku S3 zaszyfrowanym kluczem KMS. Konto marketingowe (marketing account) używa Amazon QuickSight i potrzebuje dostępu do danych S3 konta sprzedażowego. Konto marketingowe utworzyło już rolę usługi QuickSight na swoim koncie. Musisz zapewnić bezpieczny dostęp między kontami z najmniejszym obciążeniem operacyjnym. Które rozwiązanie jest najlepsze?

Najlepszym rozwiązaniem jest utworzenie roli IAM na koncie sprzedażowym z uprawnieniami do zasobnika S3 i klucza KMS, a następnie skonfigurowanie roli QuickSight na koncie marketingowym, aby mogła przyjmować (assume) tę rolę. To zapewnia bezpieczny dostęp między kontami z minimalnym obciążeniem operacyjnym, ponieważ QuickSight bezpośrednio uzyskuje dostęp do danych bez replikacji. Pozostałe opcje są mniej optymalne: Tworzenie nowego zasobnika i replikacja S3 (opcja 1) jest kosztowne i zwiększa złożoność zarządzania danymi, ponieważ wymaga utrzymywania dwóch kopii danych. Service Control Policy (SCP) (opcja 2) służy do zarządzania uprawnieniami na poziomie organizacji, a nie do udzielania dostępu między kontami do konkretnych zasobów. AWS RAM nie służy do udostępniania kluczy KMS w celu deszyfrowania danych S3. Aktualizacja polityki zasobnika S3 na koncie marketingowym (opcja 3) jest błędna, ponieważ zasobnik S3 znajduje się na koncie sprzedażowym. Utworzenie grantu KMS jest częściowo poprawne, ale nie rozwiązuje problemu dostępu do samego zasobnika S3.