Bir şirket altyapı izleme hizmeti çalıştırmaktadır. Şirket, hizmetin müşteri AWS hesaplarındaki verileri izlemesini sağlayacak yeni bir özellik geliştiriyor. Yeni özellik, Amazon EC2 örneklerini tanımlamak ve Amazon CloudWatch metriklerini okumak için müşteri hesaplarındaki AWS API'lerini çağıracaktır. Şirket, müşteri hesaplarına EN güvenli şekilde erişmek için ne yapmalıdır?

Doğru cevap, müşterilerin kendi hesaplarında, salt okunur EC2 ve CloudWatch izinlerine ve şirketin hesabına yönelik bir güven politikasına sahip bir IAM rolü oluşturmasını sağlamaktır. Bu yaklaşım, AWS hesapları arasında güvenli ve yetkilendirilmiş erişim için AWS tarafından önerilen çapraz hesap rolü mekanizmasını kullanır. Şirket, bu rolü üstlenerek müşteri hesaplarındaki kaynaklara güvenli bir şekilde erişebilir. Diğer seçenekler neden yanlış: Sunucusuz bir API ile geçici kimlik bilgileri sağlamak, token vending machine (TVM) yaklaşımı genellikle mobil veya web uygulamaları için kullanılır ve bu senaryo için gereksiz yere karmaşıktır. Müşterilerin IAM kullanıcısı oluşturmasını ve erişim anahtarlarını paylaşmasını istemek, anahtarların yönetimi ve güvenliği açısından riskli bir yaklaşımdır. Anahtarların çalınması durumunda güvenlik ihlali riski artar. Amazon Cognito kullanıcısı oluşturmak, genellikle son kullanıcı kimlik doğrulama ve yetkilendirme için kullanılır ve bu senaryo için uygun değildir. Ayrıca, Cognito kullanıcı adlarını ve parolalarını sır yönetim sisteminde saklamak, IAM rolü kullanmaktan daha az güvenlidir.