Uma política da empresa permite que os engenheiros provisionem apenas recursos aprovados e exige o uso do AWS CloudFormation para criar esses recursos. Você deve impor essa restrição para a função do IAM que os engenheiros assumem. O que você deve fazer para implementar a imposição?

A opção correta impõe a restrição ao separar as permissões de criação de stack das permissões de provisionamento de recursos. Ao limitar a função do IAM dos engenheiros apenas às ações do CloudFormation (como CreateStack, UpdateStack, DeleteStack), eles podem iniciar a criação de stacks, mas não podem provisionar recursos diretamente. A permissão real para criar recursos aprovados é concedida a uma função de serviço do IAM separada, que o CloudFormation assume durante a execução da stack. Isso garante que apenas os recursos definidos nos modelos do CloudFormation (que são considerados aprovados) possam ser provisionados, pois a função de serviço é configurada para ter apenas essas permissões específicas. As outras opções são menos eficazes ou incorretas: A primeira opção não impede que os engenheiros criem recursos não aprovados se tiverem permissão para usar o CloudFormation e acesso ao S3. A segunda opção é menos robusta, pois ainda exige que a política do engenheiro seja gerenciada para tipos de recursos aprovados, o que pode ser complexo e propenso a erros. A quarta opção não aborda a restrição de provisionar apenas recursos aprovados, focando apenas no acesso às stacks que o engenheiro possui.