Ein SysOps-Administrator muss den Zugriff auf Systems Manager Session Manager auf bestimmte Gruppen von EC2-Instances beschränken. Die Instances sind bereits mit den erforderlichen Tags versehen. Welche zusätzlichen Aufgaben muss der Administrator ausführen, um die Zugriffskontrollen durchzusetzen? (Wählen Sie zwei.)

Um den Zugriff auf Session Manager basierend auf Tags zu beschränken, sind zwei Schritte erforderlich. Erstens müssen die Benutzer oder Gruppen, die Session Manager verwenden sollen, über IAM-Richtlinien verfügen, die ihnen die notwendigen Berechtigungen (z.B. ssm:StartSession) erteilen. Zweitens muss eine IAM-Richtlinie erstellt werden, die eine Bedingung verwendet, um den Zugriff nur auf EC2-Instances mit einem bestimmten Tag zu erlauben. Diese Richtlinie wird dann an die Benutzer oder Gruppen angehängt. Eine IAM-Rolle direkt an die Instances anzuhängen, steuert, welche Berechtigungen die Instance selbst hat, nicht wer auf sie zugreifen kann. Eine Platzierungsgruppe ist für die Verteilung von Instances gedacht, nicht für die Zugriffskontrolle. Ein Service-Konto ist kein AWS-natives Konzept für diesen Anwendungsfall.