У компании есть два аккаунта AWS: Production и Development. Компании необходимо переносить изменения кода из аккаунта Development в аккаунт Production. На этапе альфа-тестирования только два старших разработчика в аккаунте Development должны иметь доступ к аккаунту Production. На этапе бета-тестирования большему числу разработчиков потребуется доступ для тестирования. Какое решение соответствует этим требованиям?

Правильный ответ — создание роли IAM в аккаунте Production с политикой доверия, указывающей на аккаунт Development. Это позволяет разработчикам из аккаунта Development принимать (assume) эту роль и получать временные учетные данные для доступа к аккаунту Production. Такой подход соответствует принципу наименьших привилегий и позволяет легко управлять доступом: на этапе альфа-тестирования доступ к роли можно ограничить только для двух старших разработчиков, а на этапе бета-тестирования — расширить для большего числа разработчиков в аккаунте Development. Другие варианты не подходят: Создание двух документов политики в каждом аккаунте и их назначение разработчикам не является кросс-аккаунтным решением и не обеспечивает централизованного управления доступом. Создание роли IAM в аккаунте Development с доступом к Production не соответствует модели безопасности AWS, где роль, которая предоставляет доступ к ресурсам, должна находиться в том аккаунте, где эти ресурсы расположены (аккаунт Production). Создание группы IAM в аккаунте Production и добавление ее в политику доверия, указывающую на Production, не решает задачу кросс-аккаунтного доступа из Development.