一個設計團隊在開發帳戶中更新靜態圖示和資產，然後需要將測試過的資產上傳到公司生產帳戶中的 S3 bucket。設計團隊應該被授予上傳到生產 bucket 的權限，同時不暴露生產環境的其他部分。哪種步驟組合可以實現這一點？（選擇三項）

正確的步驟組合是建立一個跨帳戶 IAM 角色，允許開發帳戶中的使用者承擔該角色以存取生產帳戶中的 S3 儲存桶。 首先，在生產帳戶中，建立一個 IAM policy，授予對特定 S3 儲存桶的讀取和寫入權限。接著，在生產帳戶中，建立一個 IAM role，將此 S3 讀取/寫入 policy 附加到該角色，並設定該角色的信任 policy 以允許開發帳戶作為受信任的主體。最後，在開發帳戶中，為設計團隊使用者建立一個群組，並將一個 IAM policy 附加到該群組，該 policy 允許對生產帳戶中的角色執行 sts:AssumeRole 操作。 其他選項不正確，因為它們未能正確設定跨帳戶存取權限，例如在開發帳戶中建立生產 S3 儲存桶的 policy，或允許對開發帳戶中的角色執行 sts:AssumeRole 操作，這無法提供對生產資源的存取。