Ein Entwickler in einem gemeinsam genutzten AWS-Entwicklungskonto muss serviceverknüpfte Rollen für Dienste erstellen, die in einem Proof of Concept verwendet werden. Das Konto ist Teil einer AWS Organization. Der Entwickler muss in der Lage sein, serviceverknüpfte Rollen zu erstellen und zu konfigurieren, und nichts weiter. Welcher Ansatz erfüllt diese Anforderung?

Die Erstellung einer IAM-Rolle mit spezifischen Berechtigungen zum Erstellen von Richtlinien und Rollen, kombiniert mit einer Berechtigungsgrenze (Permissions Boundary) zur Einschränkung des Umfangs, erfüllt die Anforderung präzise. Der Entwickler kann diese Rolle annehmen, um nur die benötigten Aktionen auszuführen, ohne unnötige Privilegien zu erhalten. Die Option, einen IAM-Benutzer im Verwaltungskonto zu erstellen, ist unsicher und verstößt gegen das Prinzip der geringsten Rechte. Die Zuweisung von PowerUserAccess ist zu weitreichend und gewährt mehr Berechtigungen als erforderlich. Eine Service Control Policy (SCP), die iam: Aktionen verweigert, würde die Erstellung serviceverknüpfter Rollen vollständig verhindern, anstatt sie zu ermöglichen.