Uma empresa executa um aplicativo usando o Amazon ECS. O aplicativo cria versões redimensionadas de uma imagem original e, em seguida, faz chamadas de API do Amazon S3 para armazenar as imagens redimensionadas no Amazon S3. Como um arquiteto de soluções pode garantir que o aplicativo tenha permissão para acessar o Amazon S3?

A opção correta é criar uma função do IAM com permissões do S3 e especificá-la como taskRoleArn na definição da tarefa. O Amazon ECS utiliza funções do IAM para conceder permissões a tarefas em execução. Ao associar uma taskRole à definição da tarefa, o contêiner da aplicação herda as permissões dessa função, permitindo que faça chamadas de API para o S3 de forma segura e sem credenciais codificadas. A opção de atualizar a função S3 no AWS IAM está incorreta porque não existe uma "função S3" específica; permissões são concedidas a funções do IAM que são então assumidas por serviços. Reiniciar o contêiner não resolveria o problema de permissões se a função não estiver configurada corretamente. Criar um grupo de segurança que permita o acesso do Amazon ECS ao Amazon S3 está incorreto porque grupos de segurança controlam o tráfego de rede, não as permissões de acesso a serviços da AWS. Criar um usuário do IAM e reiniciar instâncias EC2 está incorreto e inseguro; credenciais de usuário não devem ser usadas diretamente por aplicações em contêineres, e reiniciar instâncias não propaga permissões de usuário para tarefas ECS.