Os desenvolvedores assumem a função de implantação do AWS CDK para implantar infraestrutura que inclui funções Lambda e suas funções IAM. Uma revisão de segurança descobriu que os desenvolvedores e a função de implantação do CDK têm permissões excessivas, e as funções Lambda criadas pelo CDK são excessivamente permissivas. Os desenvolvedores não devem ser capazes de conceder permissões adicionais. Qual abordagem atende ao requisito com o menor overhead operacional?

A opção correta é criar uma política de limite de permissões do IAM e configurar o bootstrapping do CDK da conta para usá-la. Isso garante que qualquer função IAM criada pelo CDK, incluindo as para funções Lambda, não exceda as permissões definidas no limite, mesmo que o código do CDK tente conceder mais. Essa abordagem é eficiente porque o limite é aplicado automaticamente durante a implantação do CDK, exigindo o mínimo de intervenção manual e reduzindo o overhead operacional. A opção de SCP que nega iam:CreateRole e iam:UpdateRole para desenvolvedores e a função de implantação do CDK é muito restritiva e inviabilizaria as implantações do CDK. A opção de instruir os desenvolvedores a referenciar o limite de permissões é suscetível a erros humanos, pois depende da conformidade manual. A opção de SCP que nega para desenvolvedores, mas permite para a função de implantação, ainda permite que a função de implantação crie funções excessivamente permissivas, e o Access Analyzer apenas confirma as permissões, não as restringe proativamente.