EC2 实例上的应用程序需要从特定的 Amazon SQS 队列发送、接收和删除消息的权限。哪种方法能以最安全的方式提供所需的权限？

正确答案是为 EC2 创建并附加一个 IAM 角色，其策略仅授予对相应队列的 sqs:SendMessage、sqs:ReceiveMessage 和 sqs:DeleteMessage 权限。这是最安全的方法，因为它利用了 IAM 角色，避免了在应用程序或实例上硬编码或存储凭证的风险。IAM 角色提供了临时凭证，由 AWS 自动轮换，大大降低了凭证泄露的风险。此外，策略仅授予应用程序所需的最小权限（发送、接收和删除消息），遵循了最小权限原则。 其他选项不安全或不符合最佳实践： 将 IAM 用户凭证嵌入应用程序配置或作为环境变量导出，都存在凭证泄露的风险，并且需要手动管理凭证轮换。 授予 sqs: 权限过于宽泛，违反了最小权限原则，即使使用 IAM 角色，也可能导致不必要的风险。