Ein Administrator führt eine Anwendung auf Amazon EC2-Instances aus und muss dieser Anwendung erlauben, eine Amazon DynamoDB-Tabelle aufzurufen. Welcher Ansatz erfüllt diese Anforderung sicher und korrekt?

Die korrekte Methode ist die Zuweisung einer IAM-Rolle zum EC2-Instance-Profil. IAM-Rollen bieten eine sichere Möglichkeit, Berechtigungen für Anwendungen zu gewähren, die auf EC2-Instances ausgeführt werden, ohne dass langfristige Anmeldeinformationen (wie Zugriffsschlüssel) auf der Instance gespeichert werden müssen. Die Anwendung kann temporäre Anmeldeinformationen von der IAM-Rolle annehmen, die automatisch rotiert werden. Das Generieren und Speichern langlebiger Zugriffsschlüssel auf der Instance ist unsicher, da diese bei Kompromittierung dauerhaft missbraucht werden könnten. Ein EC2-SSH-Schlüsselpaar dient nur dem SSH-Zugriff auf die Instance und hat keine Berechtigungen für DynamoDB. Die Zuordnung eines IAM-Benutzers zu einem Instance-Profil ist nicht der vorgesehene Mechanismus; IAM-Benutzer sind für menschliche Benutzer oder Anwendungen außerhalb von AWS-Services gedacht, die keine Rollen annehmen können.