Ein Sicherheitsingenieur muss eine AWS CloudFormation-Vorlage ausführen, die Infrastruktur für einen Produktions-Stack mit Webservern und einer MySQL-Datenbank bereitstellt. Die Vorlage wurde in der Vorproduktion validiert. Die Ausführung in der Produktion muss dem Prinzip der geringsten Rechte folgen und die Aufgabentrennung zwischen dem IAM-Konto des Ingenieurs und CloudFormation aufrechterhalten. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Option erfüllt die Anforderungen des Prinzips der geringsten Rechte und der Aufgabentrennung. CloudFormation benötigt eine Service-Rolle (PassRole), um die Ressourcen im Stack bereitzustellen und zu verwalten. Die IAM Access Analyzer-Richtliniengenerierung hilft dabei, eine präzise Richtlinie für diese Rolle zu erstellen, die nur die notwendigen Berechtigungen für die Stack-Bereitstellung enthält. Der Ingenieur erhält lediglich die Berechtigung, diese spezifische Rolle an CloudFormation zu übergeben, nicht aber die direkten Berechtigungen zur Ressourcenverwaltung. Die Option, die ec2: und rds: erlaubt und dem Ingenieur AssumeRole gewährt, verletzt das Prinzip der geringsten Rechte, da der Ingenieur dann direkt alle EC2- und RDS-Operationen ausführen könnte. Die Option, die dem Ingenieur erlaubt, die Vorlage direkt auszuführen, ohne eine CloudFormation-Servicerolle, würde bedeuten, dass die Berechtigungen des Ingenieurs direkt für die Ressourcenbereitstellung verwendet werden, was ebenfalls das Prinzip der geringsten Rechte verletzt und die Aufgabentrennung aufhebt. Die Option mit dem Richtliniensimulator ist zwar ein guter Schritt, aber die Richtlinie ec2: und rds: ist zu breit gefasst und verletzt das Prinzip der geringsten Rechte.