Eine auf einer EC2-Instance ausgeführte Anwendung listet Objekte in einem S3-Bucket auf, zeigt aber während des Tests keine Objekte an. Was ist der sicherste Weg, dies zu beheben, damit die Anwendung den Bucket-Inhalt auflisten kann?

Die korrekte Option ist, die Berechtigung S3:ListBucket zum IAM-Instance-Profil hinzuzufügen, das an die EC2-Instanz angehängt ist. Dies ist der sicherste und gängigste Weg, da die Anwendung nur die spezifische Berechtigung erhält, die sie zum Auflisten der Objekte benötigt, und dies über eine IAM-Rolle geschieht, die temporäre Anmeldeinformationen bereitstellt. Die Option, S3: hinzuzufügen, ist zu weit gefasst und gewährt mehr Berechtigungen als nötig, was ein Sicherheitsrisiko darstellt. Die Erteilung der Berechtigung an den IAM-Benutzer des Entwicklers ist falsch, da die Anwendung auf der EC2-Instanz läuft und nicht unter den Anmeldeinformationen des Entwicklers. Das Ändern der S3-Bucket-Richtlinie mit der Kontonummer der EC2-Instanz als Principal ist zwar technisch möglich, aber weniger flexibel und schwieriger zu verwalten als die Verwendung eines IAM-Instance-Profils, das für diesen Zweck konzipiert wurde.