Uma aplicação sendo executada em uma instância Amazon EC2 precisa fazer upload seguro de arquivos para um bucket Amazon S3. Qual é a maneira MAIS segura de conceder à aplicação as permissões necessárias?

A maneira mais segura é criar um perfil (role) do IAM com as permissões mínimas necessárias para o S3 e anexá-lo à instância EC2. Isso permite que a aplicação obtenha credenciais temporárias automaticamente, sem a necessidade de armazenar chaves de acesso diretamente na instância ou no código. As outras opções são menos seguras: Criar um usuário IAM com chaves de acesso e armazená-las no ambiente da aplicação é arriscado, pois as chaves podem ser comprometidas se a instância for invadida. Perfis do IAM não possuem chaves de acesso permanentes; eles fornecem credenciais temporárias. A opção que sugere criar chaves de acesso para um perfil está incorreta. Uma política de bucket S3 não pode conceder acesso diretamente a um ID de instância EC2; ela opera em princípios ou usuários/perfis do IAM.