AWS支援以暫時性憑證跨分區存取雲端資源，減少長期金鑰依賴

AWS擴充安全權杖服務（AWS Security Token Service，STS），讓工作負載可以使用原有的身分，在不同AWS分區（AWS Partitions）取得暫時性憑證，存取獲得授權的雲端資源。企業不必再替跨分區作業另外保存長期有效的IAM存取金鑰，可減少金鑰外洩風險及管理負擔。

AWS分區是由一個或多個雲端區域組成的獨立環境，例如AWS商用分區與AWS GovCloud（US）分區，各分區擁有獨立的身分與存取管理（Identity and Access Management，IAM）系統，原本核發的憑證無法直接在其他分區使用。過去企業若要讓管理程式跨分區呼叫服務，常須使用不會自動到期的IAM使用者存取金鑰。

新機制使用既有的GetWebIdentityToken與AssumeRoleWithWebIdentity API，工作負載先向來源分區的STS取得短效JSON Web Token（JWT），再將權杖送至目標分區的STS，交換指定IAM角色的暫時性憑證。目標分區的STS會驗證權杖，並依IAM角色的信任政策決定是否核發憑證，存取範圍仍受IAM權限政策限制。

跨分區存取不會預設開啟，管理員必須先在來源帳號啟用對外身分聯合功能，並於目標帳號建立信任關係。企業可依來源帳號、IAM身分及區域設定存取條件，透過AWS CloudTrail記錄兩個分區的權杖核發及憑證交換活動，以便追蹤跨分區操作。

AWS舉例，企業可讓GovCloud中的工作負載，使用暫時性憑證讀取一般商用分區的S3資料，應用於集中管理工具及彙整資安與法規遵循報表。由於各分區原有的隔離機制仍然存在，跨分區存取也必須符合適用的監管與合規要求。

新功能已在所有AWS商用區域、GovCloud（US）、中國區域及德國的AWS歐洲主權雲區域提供，不另外收費。