Zewnętrzni audytorzy w ramach jednego konta AWS potrzebują bezpiecznego dostępu tylko do odczytu do konta AWS firmy w celu przeprowadzenia audytów finansowych. Rozwiązanie musi być zgodne z najlepszymi praktykami bezpieczeństwa AWS. Które podejście powinien wdrożyć architekt rozwiązań?

Prawidłową opcją jest utworzenie roli IAM na koncie firmy, która ufa kontu AWS audytorów, dołączenie do roli polityki IAM przyznającej niezbędne uprawnienia tylko do odczytu oraz dołączenie unikalnego zewnętrznego identyfikatora (external ID) do polityki zaufania roli. To podejście jest zgodne z najlepszymi praktykami bezpieczeństwa AWS, ponieważ wykorzystuje delegowanie uprawnień między kontami za pomocą ról IAM, co eliminuje potrzebę tworzenia użytkowników IAM dla zewnętrznych podmiotów i udostępniania poświadczeń. Zewnętrzny identyfikator zapewnia dodatkową warstwę bezpieczeństwa, zapobiegając problemowi "confused deputy". Pozostałe opcje są nieprawidłowe: Dodawanie zasad zasobów do każdego zasobu jest nieefektywne i trudne w zarządzaniu, szczególnie w przypadku dużej liczby zasobów. Tworzenie użytkownika IAM i udostępnianie kluczy dostępu API jest niezgodne z najlepszymi praktykami bezpieczeństwa, ponieważ wiąże się z zarządzaniem trwałymi poświadczeniami i zwiększa ryzyko ich wycieku. Tworzenie użytkowników IAM dla każdego audytora na koncie firmy jest również niezgodne z najlepszymi praktykami, ponieważ audytorzy nie powinni mieć bezpośrednich kont użytkowników na koncie firmy; zamiast tego powinni używać swoich własnych kont AWS i przejmować rolę.