Zewnętrzny dostawca potrzebuje dostępu do konta AWS firmy, aby uruchomić zautomatyzowane narzędzie hostowane na własnym koncie AWS dostawcy. Dostawca obecnie nie ma dostępu IAM do konta firmy. Które rozwiązanie zapewni NAJBEZPIECZNIEJSZY sposób udzielenia dostawcy dostępu?

Utworzenie roli IAM na koncie firmy, która deleguje dostęp do roli IAM dostawcy, jest najbezpieczniejszym rozwiązaniem. Pozwala to dostawcy na przejęcie roli w Twoim koncie, bez konieczności tworzenia stałych poświadczeń (takich jak użytkownik IAM z hasłem) na Twoim koncie. Polityka zaufania roli określa, które podmioty (w tym przypadku rola IAM dostawcy) mogą ją przejąć, a polityki uprawnień roli definiują, co ta rola może zrobić. Jest to zgodne z zasadą najmniejszych uprawnień i zapewnia, że dostęp jest kontrolowany i tymczasowy. Tworzenie użytkownika IAM z hasłem na koncie firmy jest mniej bezpieczne, ponieważ wymaga zarządzania stałymi poświadczeniami i stwarza ryzyko ich wycieku. Dodawanie użytkownika IAM z konta dostawcy do grupy IAM na koncie firmy jest niemożliwe, ponieważ użytkownicy IAM są specyficzni dla danego konta. Użycie permission boundary z użytkownikiem IAM nie rozwiązuje problemu bezpiecznego delegowania dostępu między kontami, a jedynie ogranicza maksymalne uprawnienia użytkownika w ramach jednego konta.