Ein Entwickler erstellt eine Batch-Anwendung, die auf einer Amazon EC2-Instance ausgeführt werden soll und Lesezugriff auf einen Amazon S3-Bucket benötigt. Wie sollte der Entwickler gemäß den Best Practices für Sicherheit der Anwendung, die auf der EC2-Instance ausgeführt wird, S3-Lesezugriff gewähren?

Die korrekte Methode ist, eine IAM-Rolle zu erstellen, die die notwendigen S3-Lesezugriffsberechtigungen in einer angehängten Richtlinie enthält, und diese Rolle dann dem EC2-Instance-Profil zuzuweisen. Dies ist die sicherste und empfohlene Best Practice, da die EC2-Instanz temporäre Anmeldeinformationen erhält, die automatisch rotiert werden, ohne dass statische Schlüssel auf der Instanz gespeichert werden müssen. Das Hinzufügen von Berechtigungen zu einer IAM-Gruppe und das Anhängen an das EC2-Instance-Profil ist falsch, da Instance-Profile nur Rollen zugewiesen werden können, nicht Gruppen. Das Anhängen eines IAM-Benutzers an das EC2-Instance-Profil ist ebenfalls falsch, da Instance-Profile für Rollen und nicht für Benutzer konzipiert sind. Die Verwendung der IAM-Web-Identitätsföderation ist für den Zugriff von Anwendungen, die auf EC2-Instanzen laufen, auf AWS-Dienste nicht relevant; sie wird typischerweise für den Zugriff von externen Identitätsanbietern verwendet.