Ein DevOps-Ingenieur muss Entwicklern erlauben, CloudFormation-Stacks bereitzustellen, obwohl die IAM-Rolle des Entwicklers keine Berechtigungen zum Erstellen der in den Vorlagen definierten Ressourcen hat. Die Lösung muss dem Prinzip der geringsten Rechte folgen. Welcher Ansatz erfüllt dies?

Die korrekte Antwort ist, eine AWS CloudFormation-Servicerolle mit den erforderlichen Berechtigungen zu erstellen und der IAM-Rolle des Entwicklers die Berechtigung iam:PassRole zu erteilen. CloudFormation übernimmt dann diese Servicerolle, um die Ressourcen zu erstellen, wodurch die Entwicklerrolle keine direkten Berechtigungen für die Ressourcen benötigt. Dies folgt dem Prinzip der geringsten Rechte, da die Entwicklerrolle nur die Berechtigung zum Übergeben der Servicerolle hat, nicht aber zum direkten Erstellen von Ressourcen. Das Erstellen einer IAM-Richtlinie, die den Entwicklern das Bereitstellen der erforderlichen Ressourcen erlaubt und diese an die IAM-Rolle des Entwicklers anhängt, würde den Entwicklern direkte Berechtigungen geben, was dem Prinzip der geringsten Rechte widerspricht. Das Erteilen von vollem Zugriff auf AWS CloudFormation ist zu weit gefasst und verletzt ebenfalls das Prinzip der geringsten Rechte. Das Erteilen einer cloudformation:-Aktion ohne iam:PassRole würde nicht ausreichen, da CloudFormation immer noch eine Rolle benötigt, um die zugrunde liegenden Ressourcen zu erstellen.