Eine auf einer EC2-Instance bereitgestellte Anwendung muss in mehrere S3-Buckets lesen und schreiben. Der Entwickler möchte, dass die EC2-Instances sichere API-Anfragen stellen, ohne Anmeldeinformationen verwalten zu müssen, und dabei dem Prinzip der geringsten Rechte folgen. Welche Lösung erfüllt diese Anforderungen?

Das Hinzufügen einer IAM-Rolle zur EC2-Instanz mit einer Richtlinie, die spezifische S3-Berechtigungen (s3:ListBucket und s3:Object) für die benötigten Buckets gewährt, ist die beste Lösung. Dies folgt dem Prinzip der geringsten Rechte, da nur die erforderlichen Aktionen auf den relevanten Ressourcen erlaubt sind. Es eliminiert auch die Notwendigkeit, Anmeldeinformationen auf der Instanz zu verwalten, was ein Sicherheitsrisiko darstellen würde. Ein IAM-Benutzer mit Zugriffs- und geheimen Schlüsseln ist unsicher, da die Schlüssel auf der Instanz gespeichert werden müssten. Die AWS verwaltete Richtlinie AmazonS3FullAccess gewährt zu weitreichende Berechtigungen und verstößt gegen das Prinzip der geringsten Rechte. Eine Bucket-Richtlinie würde zwar Berechtigungen für den Bucket erteilen, aber die EC2-Instanz bräuchte immer noch eine Möglichkeit, sich bei AWS zu authentifizieren, was durch eine IAM-Rolle am besten gelöst wird.