Um engenheiro de DevOps deve permitir que os desenvolvedores implantem stacks do CloudFormation, mesmo que a função IAM de desenvolvedor não tenha permissões para criar os recursos definidos nos modelos. A solução deve seguir o princípio do privilégio mínimo. Qual abordagem satisfaz isso?

A abordagem correta utiliza uma função de serviço do CloudFormation com as permissões necessárias para criar os recursos, enquanto a função IAM do desenvolvedor recebe apenas a permissão iam:PassRole. Isso adere ao princípio do privilégio mínimo, pois os desenvolvedores não têm permissões diretas para criar recursos, mas podem "passar" a função de serviço que tem. A opção de criar uma política IAM que permita aos desenvolvedores provisionar os recursos necessários não segue o privilégio mínimo, pois concede permissões diretas aos desenvolvedores. A opção de conceder acesso total ao CloudFormation é excessivamente permissiva. A opção de conceder cloudformation: aos desenvolvedores também é muito ampla e não restringe as ações aos recursos específicos.