解决方案架构师使用 AWS CloudFormation 模板部署了一个三层 Web 应用程序。Web 层和应用层在 EC2 实例上运行，数据库层不可公开访问。应用程序实例需要访问 Amazon DynamoDB，但又不能在模板中暴露 API 凭证。架构师应该怎么做？

正确答案是创建一个具有所需 DynamoDB 读写权限的 IAM 角色，并将其通过实例配置文件关联到 EC2 实例。这是 AWS 推荐的安全实践，因为它允许 EC2 实例临时获取凭证，而无需在实例上存储长期凭证，从而避免了在模板中暴露 API 凭证的风险。 选项一不完整，因为它只提到了读取权限，而题目要求的是应用程序实例需要访问 DynamoDB，通常意味着读写操作。 选项三和选项四都涉及在模板中处理或传递访问密钥和秘密密钥，这是一种不安全的做法，因为这些长期凭证一旦泄露，可能导致严重的安全问题。IAM 角色和实例配置文件是更安全的替代方案。