Ein Finanzdienstleistungsunternehmen erstellt eine Analyselösung auf Amazon EMR für Umfragedaten. Drei Personas benötigen kontrollierten Zugriff mit geringsten Rechten: Administrator (stellt EMR-Cluster bereit), Data Engineer (führt ETL aus) und Data Analyst (führt SQL/Hive-Abfragen aus). Die Personas sollen nur genehmigte/autorisierte Anwendungen starten können, und alle von ihnen erstellten Ressourcen müssen getaggt werden. Welche Lösung setzt diese Anforderungen durch?

AWS Service Catalog ermöglicht es, genehmigte Produkte (z.B. EMR-Cluster mit spezifischen Konfigurationen) für Benutzer bereitzustellen. Dies stellt sicher, dass nur autorisierte Anwendungen gestartet werden können und erzwingt Least Privilege für jede Persona, indem Berechtigungen und Ressourcenauswahlen vordefiniert werden. Service Catalog unterstützt auch das automatische Tagging von Ressourcen. Die IAM-Rollen-Lösung bietet zwar Least Privilege, erzwingt aber nicht, dass nur genehmigte Anwendungen gestartet werden, noch stellt sie automatisches Tagging sicher. Eine AWS Config-Regel würde nur nach der Bereitstellung nicht konforme Ressourcen erkennen, nicht aber die Bereitstellung selbst verhindern. Kerberos ist eine Authentifizierungsmethode und steuert nicht, welche Anwendungen gestartet werden oder erzwingt Tagging. CloudFormation allein bietet keine direkte Kontrolle über die Bereitstellung genehmigter Anwendungen oder das Erzwingen von Tagging auf diese Weise; es ist ein Infrastruktur-as-Code-Tool.