Zewnętrzny dostawca uruchomi zautomatyzowane narzędzie z własnego konta AWS, aby wykonać pracę na koncie AWS firmy. Dostawca nie ma dostępu IAM do konta firmy. Jak architekt rozwiązań powinien przyznać dostawcy dostęp?

Poprawna odpowiedź to utworzenie roli IAM na koncie firmy i delegowanie dostępu do roli IAM dostawcy. Jest to bezpieczny i zalecany sposób na przyznawanie dostępu między kontami AWS. Rola IAM umożliwia dostawcy tymczasowe przejęcie uprawnień zdefiniowanych w politykach dołączonych do roli, bez konieczności udostępniania stałych poświadczeń. Tworzenie użytkownika IAM z hasłem nie jest zalecane, ponieważ wiąże się z zarządzaniem poświadczeniami i potencjalnym ryzykiem bezpieczeństwa. Dodawanie użytkownika IAM z konta dostawcy do grupy IAM na koncie firmy jest niemożliwe, ponieważ grupy IAM są specyficzne dla danego konta. Tworzenie nowego dostawcy tożsamości z typem "AWS account" nie jest standardowym mechanizmem delegowania dostępu między kontami w ten sposób; role IAM są do tego przeznaczone.