別アカウントへ一時的にアクセスさせる

認証、認可、資格情報、IAMポリシーを分けて、誰がどの方法でAWSへアクセスするかを整理する。

対象アカウントにIAMロールを作成し、信頼ポリシーで引き受け元を指定する

IAMロールと信頼ポリシーにより、別アカウントの主体が一時認証情報でロールを引き受けられる。

対象アカウントのrootユーザーのパスワードを外部担当者へ送る

root資格情報の共有はアクセス範囲を限定できず、回収や監査も難しい。

管理者のアクセスキーを共有フォルダーへ保存する

長期アクセスキーの共有は漏えいと不正利用のリスクを高める。

対象アカウントのすべてのS3バケットを公開する

公開設定は一時的な運用アクセスの認証・認可を提供しない。

クロスアカウント

異なるAWSアカウントの主体がリソースへアクセスする形態。

IAMロール

引き受けた主体へ一時セッションを提供するアイデンティティ。