Uma empresa criará um cluster Amazon EMR para várias equipes. As cargas de trabalho de cada equipe devem ter acesso apenas aos serviços AWS de que precisam. A empresa também não quer que as cargas de trabalho possam acessar o Instance Metadata Service Version 2 (IMDSv2) nas instâncias EC2 do cluster. Qual solução atende a esses requisitos?

A resposta correta é criar perfis de tempo de execução do EMR. Os perfis de tempo de execução do EMR permitem que você defina permissões específicas para diferentes cargas de trabalho dentro do mesmo cluster EMR, garantindo que cada equipe tenha acesso apenas aos serviços AWS necessários. Além disso, os perfis de tempo de execução do EMR suportam a configuração de credenciais temporárias, o que, por padrão, impede o acesso direto ao IMDSv2, atendendo ao requisito de segurança. Configurar endpoints de VPC de interface não aborda a necessidade de permissões granulares por carga de trabalho nem a restrição de acesso ao IMDSv2. Criar um perfil de instância IAM do EC2 para cada equipe não é escalável e não permite a segregação de permissões dentro do mesmo cluster EMR para diferentes cargas de trabalho. Criar uma configuração de segurança do EMR com EnableApplicationScopedIAMRole definida como false desabilita os perfis de tempo de execução, o que é o oposto do que é necessário para atender aos requisitos.