Консалтинговому агентству требуется временный доступ к рабочему аккаунту AWS компании для аудита безопасности. Нескольким консультантам потребуется доступ. У агентства есть собственный аккаунт AWS. Компания требует MFA для любого доступа и запрещает долгосрочные учетные данные. Какое решение соответствует этим требованиям?

Правильный ответ — создание роли IAM в рабочем аккаунте компании с политикой доверия, которая требует MFA и указывает аккаунт консалтингового агентства в качестве субъекта. Это позволяет консультантам из агентства принять эту роль из своего собственного аккаунта AWS, получая временные учетные данные для доступа к рабочему аккаунту компании. Требование MFA в политике доверия обеспечивает соблюдение политики безопасности компании. Использование ролей IAM устраняет необходимость в долгосрочных учетных данных, что соответствует требованиям безопасности. Создание пользователей IAM для каждого консультанта неоптимально, поскольку это создает долгосрочные учетные данные и требует управления ими в аккаунте компании. Настройка Amazon Cognito для аутентификации через IdP агентства является избыточной и более сложной для временного доступа. Создание роли IAM в аккаунте консалтингового агентства с политикой доверия, указывающей рабочий аккаунт компании в качестве субъекта, неверно, так как роль должна быть создана в аккаунте, к которому требуется доступ.