Ein Unternehmen möchte einen Amazon EMR-Cluster für mehrere Teams erstellen. Die Workloads jedes Teams sollen nur auf die AWS-Services zugreifen können, die sie benötigen. Das Unternehmen möchte auch nicht, dass Workloads auf den Instance Metadata Service Version 2 (IMDSv2) auf den EC2-Instanzen des Clusters zugreifen können. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist das Erstellen von EMR-Laufzeitrollen. EMR-Laufzeitrollen ermöglichen es, für jede Workload eine spezifische IAM-Rolle zu definieren, die nur die benötigten Berechtigungen für AWS-Services besitzt. Diese Rollen können so konfiguriert werden, dass sie den Zugriff auf IMDSv2 blockieren, indem sie die ec2:Metadata Aktion verweigern. Dies erfüllt die Anforderung, dass Workloads nur auf benötigte Services zugreifen und IMDSv2 nicht nutzen können. Schnittstellen-VPC-Endpunkte (Option A) steuern den Netzwerkzugriff auf AWS-Services, aber nicht die Berechtigungen der Workloads selbst. Ein EC2 IAM-Instanzprofil (Option C) würde allen Workloads auf den Instanzen dieselben Berechtigungen geben, was dem Prinzip des geringsten Privilegs widerspricht und den Zugriff auf IMDSv2 nicht selektiv unterbindet. Eine EMR-Sicherheitskonfiguration mit EnableApplicationScopedIAMRole auf „false“ (Option D) würde bedeuten, dass keine anwendungsspezifischen Rollen verwendet werden, was der Anforderung widerspricht, unterschiedliche Berechtigungen für Teams zu haben.