Um engenheiro de segurança deve executar um modelo do AWS CloudFormation que provisiona infraestrutura para uma stack de produção com servidores web e um banco de dados MySQL. O modelo foi validado em pré-produção. A execução em produção deve seguir o princípio do menor privilégio e manter a separação de funções entre a conta IAM do engenheiro e o CloudFormation. Qual abordagem atende a esses requisitos?

A abordagem correta segue o princípio do menor privilégio e a separação de funções. O IAM Access Analyzer gera uma política granular baseada no uso real, garantindo que o CloudFormation tenha apenas as permissões necessárias para a stack. Anexar essa política a uma nova função IAM isola as permissões. O engenheiro precisa de PassRole para permitir que o CloudFormation assuma essa função, mas não precisa de permissões diretas para criar ou gerenciar os recursos da stack, mantendo a separação de funções. A opção "Crie uma política IAM que permita ec2: e rds:" concede permissões excessivas (), violando o princípio do menor privilégio. A opção "Atualize as permissões do engenheiro para que ele possa executar o modelo diretamente" viola a separação de funções, dando ao engenheiro controle direto sobre os recursos da stack. A opção "Use o simulador de políticas IAM para confirmar as chamadas de API necessárias" é um bom passo, mas não é tão eficiente quanto o Access Analyzer para gerar a política inicial e ainda inclui a política excessiva ec2: e rds:.