Uma empresa implanta um conjunto de aplicações com várias stacks do AWS CloudFormation. Alguns membros da equipe encontram erros de permissão ao implantar stacks, enquanto outros conseguem. Todos os membros da equipe assumem uma role que concede as permissões necessárias para suas funções de trabalho, e todos têm permissões para operar nas stacks. Qual combinação de etapas garantirá as implantações de stack mais consistentes e seguras? (Escolha três.)

A criação de uma service role do CloudFormation com cloudformation.amazonaws.com como principal de serviço e a permissão sts:AssumeRole permite que o CloudFormation atue em nome do usuário. Anexar políticas separadas à role, especificando os ARNs dos recursos no elemento Resource, garante o princípio do privilégio mínimo, concedendo acesso apenas aos recursos necessários. Atualizar cada stack para usar essa service role e adicionar uma política iam:PassRole para o ARN da service role às roles dos membros permite que os usuários deleguem as permissões ao CloudFormation de forma segura e consistente, resolvendo os erros de permissão intermitentes. A opção de criar uma service role com um principal composto é incorreta, pois o CloudFormation precisa de seu próprio principal de serviço. Anexar políticas que especificam apenas o ARN da stack do CloudFormation é insuficiente, pois o CloudFormation precisa de permissões para os recursos que ele gerencia, não apenas para a stack em si.