Çoklu hesaplı bir AWS Organizasyonu'nda, satış hesabı bir KMS anahtarıyla şifrelenmiş bir S3 bucket'ında petabaytlarca veri depolamaktadır. Pazarlama hesabı Amazon QuickSight kullanır ve satış S3 verilerine erişmesi gerekmektedir. Pazarlama, hesabında QuickSight hizmet rolünü zaten oluşturmuştur. En az operasyonel yük ile güvenli hesaplar arası erişim sağlamanız gerekmektedir. Hangi çözüm en iyisidir?

Doğru cevap, en az operasyonel yük ile güvenli hesaplar arası erişim için en iyi uygulamayı temsil eder. Satış hesabında bir IAM rolü oluşturmak ve pazarlama hesabındaki QuickSight rolünün bu role güvenmesini sağlamak (assume role), veri erişimini merkezi olarak yönetir ve yetkilendirmeyi basitleştirir. Bu yaklaşım, verilerin kopyalanmasını gerektirmez ve KMS anahtarının doğrudan paylaşılmasından daha güvenlidir. Yanlış seçenekler: Yeni bir S3 bucket'ı oluşturup verileri kopyalamak, petabaytlarca veri için yüksek operasyonel yük, depolama maliyeti ve veri senkronizasyonu zorlukları yaratır. SCP'ler izinleri kısıtlamak için kullanılır, erişim vermek için değil. Ayrıca, KMS anahtarını AWS RAM ile paylaşmak, anahtar kullanımını kontrol etmeyi zorlaştırabilir ve güvenlik riskleri oluşturabilir. S3 bucket policy'sini doğrudan güncellemek ve bir KMS grant oluşturmak, QuickSight rolünün doğrudan erişimini sağlar ancak IAM rolü aracılığıyla erişim, yetkilendirme katmanını daha iyi ayırır ve yönetimi kolaylaştırır.