Ein Sicherheitsadministrator in seinem eigenen AWS-Konto benötigt Lesezugriff, um VPC-Konfigurationen in mehreren AWS-Entwicklerkonten innerhalb einer AWS Organization zu überprüfen. Was ist der sicherste Weg, diesen Zugriff zu gewähren?

Die korrekte Option ist die sicherste Methode, da sie das Prinzip der geringsten Rechte (least privilege) anwendet und keine Anmeldeinformationen geteilt werden müssen. Durch die Erstellung einer IAM-Richtlinie mit schreibgeschützten VPC-Berechtigungen wird sichergestellt, dass der Sicherheitsadministrator nur die notwendigen Aktionen ausführen kann. Die Verwendung einer kontoübergreifenden IAM-Rolle ermöglicht es dem Administrator, die Rolle von seinem eigenen Konto aus zu übernehmen, was die Verwaltung zentralisiert und das Risiko der Kompromittierung von Anmeldeinformationen eliminiert. Die erste Option ist unsicher, da das Teilen von IAM-Benutzeranmeldeinformationen ein hohes Sicherheitsrisiko darstellt. Die zweite Option ist ebenfalls unsicher, da sie übermäßige Berechtigungen (vollständige administrative EC2- und VPC-Rechte) gewährt und Anmeldeinformationen geteilt werden. Die dritte Option gewährt zwar keine geteilten Anmeldeinformationen, aber die Berechtigungen auf Administratorebene sind zu weitreichend und verletzen das Prinzip der geringsten Rechte.