Uma aplicação sendo executada em uma instância EC2 precisa chamar APIs para acessar objetos em um bucket S3. Qual combinação de passos oferece a configuração mais segura? (Escolha duas.)

A criação de uma role IAM com as permissões necessárias para o bucket S3 e a anexação dessa role à instância EC2 por meio de um perfil de instância (instance profile) é a abordagem mais segura. Isso permite que a instância assuma a role, obtendo credenciais temporárias para acessar o S3 sem a necessidade de armazenar credenciais de longo prazo na instância. A opção de criar um usuário IAM e adicioná-lo a um grupo IAM não é a mais segura para aplicações em EC2, pois exigiria o armazenamento de credenciais estáticas na instância. Armazenar credenciais de usuário IAM como variáveis de ambiente é uma prática insegura que pode expor as credenciais. Atribuir uma role a um grupo IAM não é o mecanismo correto para conceder permissões a uma instância EC2; roles são assumidas por entidades (como instâncias) ou serviços.