В аккаунте A хранится PII в таблице DynamoDB с именем PII. Приложению, работающему на инстансах EC2 в аккаунте B, необходим доступ к этой таблице. В аккаунте A была создана роль IAM AccessPII с разрешениями для таблицы PII и политикой доверия, позволяющей субъектам из аккаунта B принимать эту роль. Какие шаги должны выполнить разработчики в аккаунте B, чтобы приложение получило доступ к таблице PII? (Выберите два варианта.)

Для доступа к ресурсам в другом аккаунте AWS используется механизм кросс-аккаунтных ролей. Правильный подход включает два основных шага. Во-первых, роль инстанса EC2 в аккаунте B должна иметь разрешение на принятие (assume) роли AccessPII из аккаунта A. Это достигается путем добавления соответствующего разрешения sts:AssumeRole к политике роли инстанса EC2. Во-вторых, приложение, работающее на этом инстансе, должно программно вызвать API AssumeRole для роли AccessPII. Это действие возвращает временные учетные данные, которые приложение затем использует для доступа к таблице PII в аккаунте A. Неправильные варианты: Предоставление прямого разрешения роли инстанса EC2 на доступ к таблице PII в аккаунте A нарушает принцип наименьших привилегий и не является стандартным способом кросс-аккаунтного доступа. Использование учетных данных роли инстанса EC2 напрямую не позволит получить доступ к ресурсам в другом аккаунте, так как эти учетные данные привязаны к аккаунту B. GetSessionToken используется для получения временных учетных данных для пользователя IAM или федеративного пользователя в том же аккаунте, а не для кросс-аккаунтного доступа через роли.