一家零售公司擁有多個業務團隊，每個團隊都在 AWS Organizations 下管理自己的 AWS 帳戶。每個團隊都將產品庫存儲存在其帳戶中的 DynamoDB table 中。一個中央庫存報告應用程式在一個共享帳戶中運行，並且必須從所有團隊的 DynamoDB tables 中讀取項目。哪種身份驗證選項能最安全地滿足這些要求？

正確答案透過跨帳戶 IAM 角色實現了最安全的身份驗證。每個業務帳戶中的 BUROLE 授予對其 DynamoDB 表格的讀取權限，並信任中央庫存帳戶中的特定角色 (APPROLE)。中央帳戶中的應用程式使用 APPROLE 呼叫 STS AssumeRole API，暫時獲得訪問業務帳戶 DynamoDB 表格所需的權限。這種方法遵循最小權限原則，避免了在應用程式中硬編碼憑證，並利用了 IAM 角色提供的臨時憑證，提高了安全性。 將 DynamoDB 與 Secrets Manager 整合並輪換 secret 雖然比硬編碼憑證好，但仍然需要在應用程式中管理和使用長期憑證，安全性不如 IAM 角色。在每個業務帳戶中建立 IAM user 並手動輪換 access key 是不安全的，因為長期憑證容易洩露，且手動輪換繁瑣。將 DynamoDB 與 ACM 整合是錯誤的，ACM 用於管理 SSL/TLS 憑證，而非 DynamoDB 的身份驗證。