Компания использует федерацию удостоверений для аутентификации пользователей в аккаунте удостоверений (987654321987), где они принимают на себя роль IAM под названием IdentityRole. Затем они принимают на себя роль IAM под названием JobFunctionRole в целевом аккаунте AWS (123456789123) для выполнения своих обязанностей. Пользователь не может принять на себя роль в целевом аккаунте. К роли в аккаунте удостоверений прикреплена политика IAM (не показана). Какое изменение необходимо, чтобы пользователь мог принять на себя соответствующую роль в целевом аккаунте?

Пользователь не может принять роль в целевом аккаунте, потому что политика доверия (trust policy) для JobFunctionRole в целевом аккаунте AWS (123456789123) не доверяет роли IdentityRole из аккаунта удостоверений (987654321987). Чтобы пользователь мог принять JobFunctionRole, необходимо обновить политику доверия JobFunctionRole, указав ARN IdentityRole в качестве принципала, которому разрешено принимать эту роль. Обновление политики IAM, прикрепленной к роли в аккаунте удостоверений, не решит проблему, так как это политика разрешений для IdentityRole, а не политика доверия. Обновление политики доверия для роли в аккаунте удостоверений не имеет отношения к принятию роли в целевом аккаунте. Обновление политики IAM, прикрепленной к роли в целевом аккаунте, определяет, что JobFunctionRole может делать, но не то, кто может ее принять.