Uma empresa tem um sistema de arquivos Amazon Elastic File System (Amazon EFS) contendo um conjunto de dados de referência. Aplicações baseadas em EC2 precisam ler o conjunto de dados, mas não devem modificá-lo. A empresa deseja usar o controle de acesso do IAM para impedir que as aplicações modifiquem ou excluam o conjunto de dados. Qual solução atende a esses requisitos?

A política de recurso do EFS (também conhecida como política do sistema de arquivos) é o mecanismo correto para controlar o acesso de clientes EFS. Negar explicitamente a ação elasticfilesystem:ClientWrite para os perfis do IAM das instâncias EC2 impede que essas instâncias modifiquem ou excluam dados, enquanto ainda permite a leitura. Montar o EFS em modo somente leitura nas instâncias EC2 não é uma solução de controle de acesso do IAM e pode ser facilmente contornado. Uma política de identidade (anexada ao usuário/função IAM) não é a forma mais eficaz de controlar o acesso a um recurso específico como o EFS em um cenário multi-aplicação, e uma política de recurso oferece controle mais granular. Pontos de acesso EFS com permissões POSIX controlam o acesso a diretórios específicos dentro do sistema de arquivos, mas a negação de ClientWrite na política de recurso é uma camada de controle de acesso mais abrangente e direta para o requisito de "não modificar o conjunto de dados".