Um engenheiro de segurança deve restringir o usuário IAM de um contratado para que ele tenha acesso apenas ao console do Amazon EC2 e impeça o acesso a todos os outros serviços da AWS, mesmo que permissões adicionais sejam concedidas por meio da associação a grupos do IAM. O que o engenheiro de segurança deve fazer para atender a esses requisitos?

A política de limite de permissões do IAM (Permissions Boundary) é a única opção que restringe as permissões efetivas máximas que uma identidade do IAM pode ter, independentemente de outras políticas anexadas (diretamente ou via grupo). Ao anexar uma política de limite de permissões que permite apenas o acesso ao Amazon EC2, qualquer permissão adicional concedida por meio de políticas de grupo ou anexadas diretamente ao usuário será ignorada se exceder o limite definido. As outras opções não garantem a restrição exigida: Anexar uma política inline permite acesso ao EC2, mas não impede que outras políticas concedam acesso a outros serviços. Adicionar o usuário a um grupo com acesso ao EC2 não impede que outras políticas (de outros grupos ou anexadas diretamente) concedam acesso a outros serviços. Criar um perfil do IAM e instruir o contratado a assumi-lo não garante que o contratado sempre o fará, e suas permissões originais ainda poderiam ser usadas.