Tek bir AWS hesabındaki harici denetçilerin, şirketin AWS hesabına finansal denetimler için güvenli, salt okunur erişime ihtiyacı var. Çözüm, AWS güvenlik en iyi uygulamalarını takip etmelidir. Çözüm mimarı hangi yaklaşımı uygulamalıdır?

Doğru cevap, harici denetçilere güvenli, salt okunur erişim sağlamak için AWS en iyi uygulamalarını takip eder. Bir IAM rolü oluşturmak, denetçilerin kendi AWS hesaplarından bu role geçiş yapmalarına olanak tanır ve şirket hesabında doğrudan kullanıcı oluşturma ihtiyacını ortadan kaldırır. Rol güven politikasına benzersiz bir harici kimlik (external ID) eklemek, "confused deputy" saldırılarını önleyerek güvenliği artırır. Bu yaklaşım, en az ayrıcalık ilkesini ve sorumluluk ayrılığını destekler. Diğer seçenekler neden yanlış: Her kaynağa kaynak politikaları eklemek karmaşık ve yönetimi zordur, ayrıca harici kimlik mekanizması bu senaryoda uygun değildir. IAM kullanıcısı oluşturup API anahtarlarını paylaşmak, anahtar yönetimi ve güvenliği açısından risklidir ve en iyi uygulama değildir. Her denetçi için IAM kullanıcısı oluşturmak, harici denetçiler için AWS'nin önerdiği bir yöntem değildir ve denetçilerin kendi AWS hesapları üzerinden erişimini kısıtlar.