Eine Unternehmensrichtlinie erlaubt Ingenieuren nur die Bereitstellung genehmigter Ressourcen und schreibt die Verwendung von AWS CloudFormation zur Erstellung dieser Ressourcen vor. Sie müssen diese Einschränkung für die IAM-Rolle durchsetzen, die Ingenieure annehmen. Was sollten Sie tun, um die Durchsetzung zu implementieren?

Die korrekte Antwort ist die beste Methode, um die Bereitstellung von Ressourcen durch Ingenieure auf genehmigte Typen zu beschränken und gleichzeitig die Verwendung von CloudFormation zu erzwingen. Indem die IAM-Rolle der Ingenieure auf CloudFormation-Aktionen beschränkt wird, können sie keine Ressourcen direkt erstellen. Stattdessen wird eine separate IAM-Servicerolle mit den Berechtigungen zur Bereitstellung genehmigter Ressourcen erstellt. CloudFormation übernimmt diese Servicerolle, wenn es Stacks erstellt, wodurch sichergestellt wird, dass nur die in der Servicerolle definierten Ressourcen bereitgestellt werden können. Die erste Option ist unzureichend, da sie nicht direkt verhindert, dass Ingenieure nicht genehmigte Ressourcen über CloudFormation bereitstellen, wenn die Vorlage geändert wird. Die zweite Option ist ebenfalls unzureichend, da sie immer noch die Möglichkeit bietet, dass Ingenieure nicht genehmigte Ressourcen direkt über CloudFormation-Aktionen bereitstellen, wenn ihre Richtlinie dies zulässt. Die vierte Option ist zu restriktiv und verhindert nicht die Bereitstellung nicht genehmigter Ressourcentypen innerhalb der CloudFormation-Stacks.