Ein Sicherheitsingenieur muss den IAM-Benutzer eines Auftragnehmers auf den Zugriff über die Amazon EC2-Konsole beschränken und den Zugriff auf alle anderen AWS-Dienste verhindern, selbst wenn zusätzliche Berechtigungen durch die IAM-Gruppenmitgliedschaft gewährt werden. Was sollte der Sicherheitsingenieur tun, um diese Anforderungen zu erfüllen?

Die Erstellung einer IAM-Berechtigungsgrenze (Permissions Boundary), die nur den Amazon EC2-Zugriff erlaubt und diese an den IAM-Benutzer des Auftragnehmers anfügt, ist die korrekte Lösung. Eine Berechtigungsgrenze legt die maximale Berechtigungen fest, die eine Identität haben kann. Selbst wenn der Benutzer Mitglied einer IAM-Gruppe ist, die breitere Berechtigungen gewährt, kann er niemals mehr tun, als die Berechtigungsgrenze erlaubt. Das Anfügen einer Inline-Richtlinie wäre unzureichend, da Gruppenberechtigungen diese überschreiben könnten. Das Hinzufügen zu einer IAM-Gruppe mit EC2-Zugriff würde nicht verhindern, dass andere Gruppen zusätzliche Berechtigungen gewähren. Eine IAM-Rolle müsste der Auftragnehmer aktiv übernehmen, was nicht die primäre Zugriffsmethode für die Konsole ist und keine dauerhafte Beschränkung für den Benutzer selbst darstellt.