Bir şirket, farklı departmanlar için birçok AWS hesabını merkezi bir konumdan yönetecek. Güvenlik ekibinin, kendi AWS hesabından her hesaba salt okunur erişimi olması gerekiyor. Şirket AWS Organizations kullanıyor ve güvenlik ekibi için bir hesap oluşturdu. Çözüm mimarının güvenlik ekibine üye hesaplara salt okunur erişim sağlamasının doğru yolu nedir?

Doğru cevap, güvenlik ekibinin her üye hesapta oluşturulan özel bir IAM rolünü üstlenmesini içerir. Bu rol, güvenlik ekibine salt okunur erişim sağlayan bir politikaya sahip olmalı ve güvenlik hesabının bu rolü üstlenmesine izin veren bir güven ilişkisi içermelidir. Bu yaklaşım, merkezi bir güvenlik hesabından tüm üye hesaplara güvenli ve ölçeklenebilir bir şekilde erişim sağlar. Diğer seçenekler neden yanlış: Bir IAM politikası oluşturmak, doğrudan erişim sağlamaz; bir rolün bu politikayı kullanması gerekir. Güvenlik ekibinin yönetim hesabındaki OrganizationAccountAccessRole'u üstlenmesi, üye hesaplara doğrudan salt okunur erişim sağlamaz. Bu rol genellikle yönetim görevleri içindir. Güvenlik ekibinin her üye hesaptaki OrganizationAccountAccessRole'u üstlenmesi, bu rolün genellikle daha geniş izinlere sahip olması nedeniyle en az ayrıcalık ilkesini ihlal edebilir. Güvenlik ekibinin yalnızca salt okunur erişime ihtiyacı vardır.