Bir perakende şirketinin, her biri AWS Organizations altında kendi AWS hesabını yöneten birden çok iş ekibi vardır. Her ekip, ürün envanterini kendi hesabındaki bir DynamoDB tablosunda saklar. Merkezi bir envanter raporlama uygulaması paylaşılan bir hesapta çalışır ve tüm ekiplerin DynamoDB tablolarındaki öğeleri okuması gerekir. Hangi kimlik doğrulama seçeneği bu gereksinimleri EN güvenli şekilde karşılar?

Doğru cevap, AWS Güvenlik Token Hizmeti (STS) ve çapraz hesap IAM rolleri kullanarak en güvenli kimlik doğrulama yöntemini sunar. Envanter uygulaması, kendi hesabındaki bir rolü üstlenir (APPROLE) ve bu rol daha sonra her bir iş hesabındaki ilgili DynamoDB tablolarına erişim sağlayan başka bir rolü (BUROLE) üstlenir. Bu yaklaşım, uzun süreli kimlik bilgilerinin (erişim anahtarları gibi) doğrudan uygulamada saklanmasını veya yönetilmesini gerektirmediği için güvenliği artırır. Ayrıca, her bir iş hesabındaki kaynaklara erişimi, en az ayrıcalık ilkesine uygun olarak hassas bir şekilde kontrol etme esnekliği sağlar. Diğer seçenekler daha az güvenlidir: Secrets Manager kullanmak, kimlik bilgilerini güvenli bir şekilde saklasa da, her bir DynamoDB tablosu için ayrı kimlik bilgileri oluşturma ve yönetme yükü getirir ve çapraz hesap erişimi için en uygun yöntem değildir. IAM kullanıcıları ve erişim anahtarlarını kullanmak, uzun süreli kimlik bilgilerinin doğrudan uygulamada yönetilmesini gerektirir ve bu da güvenlik risklerini artırır. Anahtarların manuel olarak döndürülmesi operasyonel yükü artırır. AWS Certificate Manager (ACM) ile entegrasyon, DynamoDB için doğrudan bir kimlik doğrulama mekanizması değildir. ACM, SSL/TLS sertifikalarını yönetmek için kullanılır, ancak DynamoDB API çağrılarını doğrulamak için uygun değildir.