Harici bir satıcının, satıcının kendi AWS hesabında barındırılan otomatik bir aracı çalıştırmak için şirketin AWS hesabına erişmesi gerekiyor. Satıcının şu anda şirketin hesabına IAM erişimi yok. Satıcıya erişim izni vermenin EN GÜVENLİ yolu hangi çözüm olacaktır?

Doğru cevap, satıcının kendi AWS hesabındaki bir IAM rolünden şirketin hesabına erişim devreden bir IAM rolü oluşturmaktır. Bu yöntem, satıcının kimlik bilgilerini şirket hesabında yönetme ihtiyacını ortadan kaldırır ve satıcının kendi IAM kimlik doğrulama mekanizmalarını kullanmasını sağlar. Şirket hesabındaki rol, yalnızca satıcının aracının ihtiyaç duyduğu minimum ayrıcalıkları içeren politikalarla yapılandırılmalıdır. Diğer seçenekler daha az güvenlidir: Şirket hesabında bir IAM kullanıcısı oluşturmak, satıcının kimlik bilgilerini şirket hesabında yönetme yükünü getirir ve bu kimlik bilgilerinin güvenliğinden şirketi sorumlu kılar. Bir IAM grubu oluşturmak ve satıcının hesabındaki bir IAM kullanıcısını bu gruba eklemek mümkün değildir; IAM grupları yalnızca aynı AWS hesabındaki IAM varlıklarını içerir. Bir permission boundary'ye sahip bir IAM kullanıcısı oluşturmak, yine şirket hesabında bir IAM kullanıcısı oluşturmayı gerektirir ve bu da yukarıda belirtilen güvenlik endişelerini taşır. Permission boundary'ler, bir kullanıcının veya rolün alabileceği maksimum izinleri tanımlar, ancak kimlik doğrulama yöntemini değiştirmez.