A Hesabı, PII adlı bir DynamoDB tablosunda PII depolamaktadır. B Hesabındaki EC2 örneklerinde çalışan bir uygulamanın bu tabloya erişmesi gerekmektedir. A Hesabında, PII tablosu için izinlere ve B Hesabındaki sorumluların rolü üstlenmesine izin veren bir güven politikasına sahip bir IAM rolü olan AccessPII oluşturulmuştur. Uygulamanın PII tablosuna erişmesini sağlamak için geliştiriciler B Hesabında hangi adımları gerçekleştirmelidir? (İki tane seçin.)

Doğru cevaplar, hesaplar arası rol üstlenme (cross-account role assumption) mekanizmasını açıklar. İlk olarak, B Hesabındaki EC2 örnek rolüne, A Hesabındaki AccessPII rolünü üstlenme izni verilmelidir. Bu, B Hesabındaki EC2 örneklerinin AccessPII rolünün izinlerini kullanabilmesinin ön koşuludur. İkinci olarak, uygulama AssumeRole API'sini çağırarak AccessPII rolü için geçici kimlik bilgileri almalı ve bu kimlik bilgilerini PII tablosuna erişmek için kullanmalıdır. Bu, güvenli ve geçici erişim sağlar. "EC2 örnek rolüne, A Hesabındaki PII tablosuna doğrudan erişim izni verin" seçeneği yanlıştır çünkü bu, hesaplar arası erişim için doğrudan izin vermek yerine rol üstlenme modelini kullanmanın güvenlik faydalarını ortadan kaldırır. "Uygulamanın, PII tablosuna erişmek için EC2 örnek rolünün kimlik bilgilerini doğrudan kullanmasını sağlayın" seçeneği yanlıştır çünkü EC2 rolünün kendisi PII tablosuna doğrudan erişim iznine sahip değildir; bu rol, AccessPII rolünü üstlenmek için kullanılır. "Uygulamanın, PII tablosuna erişmek için geçici kimlik bilgileri almak üzere GetSessionToken'ı çağırmasını sağlayın" seçeneği yanlıştır çünkü GetSessionToken, mevcut IAM kullanıcısı veya rolü için geçici kimlik bilgileri oluşturur, hesaplar arası rol üstlenmek için AssumeRole kullanılmalıdır.