AWS Organizations kullanan bir şirket, hem AWS Management Console hem de üçüncü taraf SaaS uygulaması erişimi için kuruluştaki hesaplara erişim sağlamak üzere üçüncü taraf AWS hesaplarına kısa süreli kimlik bilgileri sağlamalıdır. Çözüm, iki harici hesabın aynı kimlik bilgilerini kullanmasını önlemek için güveni güçlendirmeli ve minimum operasyon gerektirmelidir. Hangi çözüm bu ihtiyaçları karşılar?

Bu çözüm, her harici hesap için ayrı bir IAM rolü oluşturarak ve bu rollerin güven politikalarına sts:ExternalId koşul anahtarını ekleyerek güvenliği artırır. ExternalId, iki harici hesabın aynı kimlik bilgilerini kullanmasını önleyen, rol üstlenilirken belirtilmesi gereken benzersiz bir tanımlayıcıdır. Bu, güveni güçlendirir ve her harici hesap için ayrı bir kimlik doğrulama mekanizması kurma ihtiyacını ortadan kaldırarak operasyonel yükü minimumda tutar. Diğer seçenekler ise şunlardır: Amazon Cognito, genellikle kullanıcı havuzları ve API Gateway ile entegrasyon için kullanılır, ancak doğrudan AWS hesaplarına erişim için sts:ExternalId kadar güçlü bir mekanizma sunmaz ve üçüncü taraf SaaS uygulamalarıyla entegrasyonu daha karmaşık hale getirebilir. AWS IAM Identity Center (AWS Single Sign-On), AWS hesapları ve entegre SaaS uygulamaları için merkezi erişim yönetimi sağlasa da, harici üçüncü taraf AWS hesaplarına erişim senaryosunda sts:ExternalId'nin sağladığı özel güvenlik katmanını doğrudan sunmaz ve daha fazla yapılandırma gerektirebilir. AWS Secrets Manager ile rastgele bir harici anahtar oluşturmak, sts:ExternalId'nin sağladığı güven mekanizmasını doğrudan sağlamaz ve anahtar yönetimi açısından ek operasyonel yük getirebilir.