Ein Sicherheitsingenieur ersetzt umfassende, von AWS verwaltete IAM-Richtlinien, die an eine IAM-Rolle angehängt sind, die von einem Skript verwendet wird, das mit der AWS CLI ausgeführt wird. Die aktuelle Rolle hat AmazonEC2FullAccess, AmazonDynamoDBFullAccess und AmazonVPCFullAccess. Der Ingenieur muss eine Least-Privilege-Richtlinie auf die betrieblich effizienteste Weise erstellen. Was sollte der Ingenieur tun?

Die korrekte Option beschreibt den effizientesten Weg zur Implementierung des Least-Privilege-Prinzips. Durch das Aktivieren von CloudTrail und das Ausführen des Skripts mit den bestehenden Berechtigungen werden alle tatsächlich genutzten Aktionen aufgezeichnet. IAM Access Analyzer kann diese CloudTrail-Ereignisse analysieren und automatisch eine präzise Least-Privilege-Richtlinie generieren, was den manuellen Aufwand erheblich reduziert. Die Option, den IAM Access Analyzer Role Policy Generator direkt anzuhängen und dann das Skript auszuführen, ist nicht korrekt, da der Generator keine Echtzeit-Analyse während der Skriptausführung durchführt, um eine Richtlinie zu erstellen. Das Erstellen eines Konto-Analyzers und einer Archivierungsregel im IAM Access Analyzer ist für die Identifizierung externer Zugriffe gedacht, nicht für die Generierung von Least-Privilege-Richtlinien basierend auf internen Skriptausführungen. Die manuelle Iteration von CloudTrail-Fehlern und das schrittweise Hinzufügen von Berechtigungen ist zwar eine Möglichkeit, Least Privilege zu erreichen, aber sie ist zeitaufwändig und fehleranfällig und somit nicht die betrieblich effizienteste Methode.