Розничная компания имеет несколько бизнес-команд, каждая из которых управляет собственным аккаунтом AWS в рамках AWS Organizations. Каждая команда хранит данные об инвентаризации продуктов в таблице DynamoDB в своем аккаунте. Центральное приложение для отчетности по инвентаризации работает в общем аккаунте и должно считывать элементы из таблиц DynamoDB всех команд. Какой вариант аутентификации наиболее безопасно соответствует этим требованиям?

Правильный ответ обеспечивает безопасный и масштабируемый механизм межаккаунтного доступа. Роль APPROLE в центральном аккаунте может принимать (assume) роли BUROLE в каждом бизнес-аккаунте, получая временные учетные данные для доступа к DynamoDB. Это устраняет необходимость обмена долгосрочными учетными данными и упрощает управление доступом. Интеграция с Secrets Manager не подходит, так как она предназначена для хранения секретов, а не для межаккаунтной аутентификации, и не решает проблему безопасного обмена секретами между аккаунтами. Использование пользователей IAM с программным доступом и ручной ротацией ключей является менее безопасным и трудоемким, создавая риск утечки ключей и сложности в управлении большим количеством аккаунтов. Интеграция с ACM не имеет отношения к аутентификации в DynamoDB; ACM предназначен для управления SSL/TLS-сертификатами.