監視SaaS事業者に自社アカウントのCloudWatchメトリクスを読み取らせるため、クロスアカウントのIAMロールを用意します。同じSaaSを利用する他社が、自社のロールを誤ってまたは悪意で引き受けさせる「混乱した代理」問題を防ぐために、ロールの信頼ポリシーへ追加すべき条件はどれですか

正解の理由：サードパーティにロールを引き受けさせる場合の「混乱した代理(confused deputy)」問題は、信頼ポリシーでsts:ExternalIdを要求することで防ぎます。事業者は顧客ごとに一意の外部IDを発行し、AssumeRole時にその値を必ず付与するため、他社が自社のロールARNを指定しても外部IDが一致せず拒否されます。MFAやIPアドレス制限は事業者の運用に依存し本質的な対策になりません。長期のアクセスキーを渡す方法は漏えいリスクが高く、ロールによる一時的な認証情報を使うべきです。