Bir kuruluş, finans ve pazarlama için ayrı hesaplarla AWS Organizations kullanıyor. Finans ekibinin veri işleme uygulaması (finans hesabında), Lambda kullanıyor ve gizli verileri bir DynamoDB tablosunda depoluyor. Pazarlama ekibinin (farklı bir hesapta) bu DynamoDB tablosunun yalnızca belirli niteliklerine erişimi olması gerekiyor. Bir çözümler mimarı, pazarlama ekibine gereken sınırlı erişimi nasıl sağlamalıdır?

Doğru cevap, AWS hesapları arasında güvenli ve ayrıntılı erişim sağlamanın standart ve en iyi yoludur. Finans hesabında oluşturulan IAM rolü, DynamoDB tablosuna yalnızca belirli niteliklere erişim izni veren koşullarla yapılandırılır. Bu rolün güven ilişkisi, pazarlama hesabının bu rolü üstlenmesine izin verir. Pazarlama hesabındaki IAM rolü ise bu üstlenmeyi gerçekleştirir. Bu yöntem, en az ayrıcalık ilkesini uygulayarak hesaplar arası güvenli erişimi garanti eder. Yanlış seçenekler: SCP'ler izinleri kısıtlamak için kullanılır, ancak hesaplar arası belirli kaynaklara ayrıntılı erişim izni vermek için uygun değildir. Kaynak tabanlı IAM politikaları, aynı hesap içindeki kaynaklara erişimi kontrol etmek için daha uygundur. Hesaplar arası erişimde, üstlenilebilir bir IAM rolü daha güvenlidir. IAM permissions boundary, bir rolün veya kullanıcının alabileceği maksimum izinleri belirler, ancak doğrudan başka bir hesaba ayrıntılı erişim sağlamaz.