Учетная запись A владеет бакетом S3 с файлами данных, к которым должен получить доступ пользователь IAM (User_DataProcessor) бизнес-партнера в учетной записи B. Какие шаги должны предпринять компании, чтобы User_DataProcessor мог получить доступ к объектам S3 из учетной записи B? (Выберите два варианта.)

Для предоставления доступа к S3-бакету из одной учетной записи AWS (Учетная запись A) пользователю IAM в другой учетной записи (Учетная запись B) необходимо выполнить два основных шага. Во-первых, владелец бакета (Учетная запись A) должен прикрепить политику бакета, которая явно разрешает доступ к бакету для указанного пользователя IAM из Учетной записи B. Это делается путем указания ARN пользователя (например, arn:aws:iam::AccountB:user/UserDataProcessor) в качестве субъекта (Principal) в политике бакета и разрешения необходимых действий S3, таких как s3:GetObject. Во-вторых, пользователь IAM (UserDataProcessor) в Учетной записи B должен иметь прикрепленную политику IAM, которая разрешает ему выполнять эти действия S3 для объектов в бакете Учетной записи A. Это обеспечивает двустороннее разрешение: владелец ресурса разрешает доступ, а пользователь имеет разрешение на его использование. Включение CORS не требуется для доступа IAM к S3. Политика бакета, указывающая только ARN пользователя без разрешения действий, не предоставит доступ. Политика IAM в Учетной записи B, запрещающая все действия, кроме GetObject, не является разрешающей политикой и не предоставит доступ.