O gerente de QA atualmente lança ambientes de teste de aplicativos usando um modelo do CloudFormation em uma conta AWS, assumindo uma função com permissões de CloudFormation, EC2 e Auto Scaling. O departamento de QA deseja que os testadores possam lançar seus próprios ambientes de curta duração, mas os testadores não devem receber permissões amplas. Qual configuração atenderá a esses objetivos?

A opção correta é usar o AWS Service Catalog. Ele permite que os testadores lancem ambientes pré-aprovados (produtos) sem ter permissões diretas para os serviços subjacentes (CloudFormation, EC2, Auto Scaling). A restrição de lançamento no Service Catalog garante que o produto seja provisionado usando a função existente do gerente de QA, que já possui as permissões necessárias, sem expor essas permissões aos testadores. Os testadores precisam apenas de permissões para usar as APIs do Service Catalog, o que atende ao requisito de permissões mínimas. As outras opções são incorretas porque: A primeira opção concede aos testadores permissão para assumir a função do gerente, mesmo que restrita, o que pode ser um risco de segurança e complexo de gerenciar. A terceira opção exige que os testadores tenham permissões diretas para CloudFormation e S3, o que viola o princípio de privilégio mínimo. A quarta opção usa Elastic Beanstalk, que não é a ferramenta mais adequada para provisionar ambientes arbitrários definidos por CloudFormation e ainda exigiria permissões mais amplas para os testadores.