解説

STS AssumeRoleのExternalId条件を使うと、ロールを引き受ける際に秘密の識別子の提示を要求できます。ベンダーは顧客ごとに固有のExternalIdを管理するため、悪意ある第三者がそのベンダーを経由して別顧客のリソースへアクセスするconfused deputy攻撃を防止できます。 選択肢AのMFAは、エンドユーザー向けの対策であり、サービス間のクロスアカウントアクセスには適しません。 選択肢CのIAMポリシーの種類（インラインか管理ポリシーか）は、アクセス権の粒度に影響しますがconfused deputy問題とは無関係です。 選択肢DのRoleSessionNameは信頼ポリシーのConditionキーとして使用可能ですが、ベンダーが顧客ごとに秘密の値を保持・管理する仕組みを持たないため、悪意ある第三者が別顧客のロールを詐称するconfused deputy攻撃を防ぐことができません。