Ein Unternehmen stellt eine Reihe von Anwendungen mit mehreren AWS CloudFormation-Stacks bereit. Einige Teammitglieder stoßen beim Bereitstellen von Stacks auf Berechtigungsfehler, während andere erfolgreich sind. Alle Teammitglieder übernehmen eine Rolle, die die für ihre Aufgaben erforderlichen Berechtigungen gewährt, und alle haben Berechtigungen, um an den Stacks zu arbeiten. Welche Kombination von Schritten gewährleistet am sichersten konsistente Stack-Bereitstellungen? (Wählen Sie drei.)

Um konsistente Stack-Bereitstellungen zu gewährleisten, erstellen Sie eine CloudFormation-Servicerolle, die cloudformation.amazonaws.com als Service-Principal verwendet und sts:AssumeRole zulässt. Diese Rolle wird von CloudFormation selbst übernommen, um Aktionen auszuführen. Fügen Sie dieser Servicerolle separate Richtlinien an, die detailliert die ARNs der Ressourcen in jedem AWS-Dienst angeben, die CloudFormation verwalten muss. Dies stellt sicher, dass CloudFormation nur auf die notwendigen Ressourcen zugreifen kann. Aktualisieren Sie jeden Stack, um diese neue Servicerolle zu verwenden. Schließlich müssen die Teammitglieder, die die Stacks bereitstellen, die Berechtigung haben, diese Servicerolle an CloudFormation zu übergeben. Dies wird erreicht, indem ihren Rollen eine Richtlinie hinzugefügt wird, die iam:PassRole für den ARN der Servicerolle erlaubt. Die Option, eine Servicerolle mit einem zusammengesetzten Principal zu erstellen, der jeden AWS-Dienst einschließt, ist zu breit gefasst und entspricht nicht dem Prinzip der geringsten Rechte. Das Anfügen von Richtlinien, die nur die ARNs der CloudFormation-Stacks im Resource-Element angeben, ist unzureichend, da CloudFormation auch Berechtigungen für die innerhalb der Stacks verwalteten Ressourcen benötigt.