Eine Anwendung verwendet derzeit eine übermäßig freizügige IAM-Rolle, die vollen Zugriff auf alle AWS-Dienste gewährt. Der SysOps-Administrator muss eine Richtlinie erstellen, die nur die Berechtigungen gewährt, die die Anwendung tatsächlich benötigt. Welche Schritte sollte der Administrator unternehmen, um eine solche Richtlinie zu erstellen?

Die korrekte Antwort ist, AWS CloudTrail zu aktivieren und dann IAM Access Analyzer zu verwenden, um eine Least-Privilege-Richtlinie aus der aufgezeichneten Aktivität zu generieren. CloudTrail zeichnet API-Aufrufe und Aktionen in Ihrem AWS-Konto auf. IAM Access Analyzer kann diese CloudTrail-Protokolle analysieren, um die tatsächlich verwendeten Berechtigungen zu identifizieren und eine Richtlinie mit geringsten Rechten zu erstellen, die nur diese Aktionen zulässt. Die anderen Optionen sind falsch, weil: AWS Security Hub ist ein Dienst zur Sicherheitsüberwachung und Compliance, der keine IAM-Richtlinien generiert. Amazon EventBridge (ehemals CloudWatch Events) ist ein ereignisgesteuerter Dienst, der keine IAM-Richtlinien generiert. Der AWS CLI get-generated-policy Befehl existiert nicht in IAM Access Analyzer. Access Analyzer generiert Richtlinien basierend auf Aktivität, nicht durch einen direkten CLI-Befehl dieser Art.