Eine Anwendung, die auf einer Amazon EC2-Instance läuft, muss Dateien sicher in einen Amazon S3-Bucket hochladen. Was ist der SICHERSTE Weg, der Anwendung die erforderlichen Berechtigungen zu erteilen?

Das Anhängen einer IAM-Rolle an eine EC2-Instance ist der sicherste und empfohlene Weg, um Anwendungen auf EC2-Instances Berechtigungen zu erteilen. Die Anwendung kann temporäre Anmeldeinformationen von den Instance-Metadaten abrufen, ohne dass langfristige Zugriffsschlüssel auf der Instance gespeichert werden müssen. Dies eliminiert das Risiko, dass Anmeldeinformationen kompromittiert werden, falls die Instance gefährdet ist. Das Erstellen von IAM-Benutzern oder Rollen mit Zugriffsschlüsseln und deren Speicherung in Umgebungsvariablen ist unsicher, da diese Schlüssel bei einer Kompromittierung der Instance dauerhaft zugänglich wären. Eine S3-Bucket-Richtlinie, die einer EC2-Instance-ID Zugriff gewährt, ist nicht praktikabel, da EC2-Instance-IDs dynamisch sind und nicht direkt für die Zugriffssteuerung verwendet werden sollten; stattdessen werden IAM-Rollen für die Berechtigungsverwaltung empfohlen.