Entwickler übernehmen die AWS CDK-Bereitstellungsrolle, um Infrastruktur bereitzustellen, die Lambda-Funktionen und deren IAM-Rollen umfasst. Eine Sicherheitsüberprüfung ergab, dass die Entwickler und die CDK-Bereitstellungsrolle übermäßige Berechtigungen haben und die von CDK erstellten Lambda-Rollen zu freizügig sind. Entwickler dürfen keine zusätzlichen Berechtigungen erteilen können. Welcher Ansatz erfüllt die Anforderung mit dem geringsten Betriebsaufwand?

Die korrekte Antwort ist, eine IAM-Berechtigungsbegrenzungsrichtlinie zu erstellen und das CDK-Bootstrapping zu aktualisieren. Eine Berechtigungsbegrenzung (Permissions Boundary) setzt die maximalen Berechtigungen, die eine IAM-Rolle oder ein Benutzer jemals haben kann, auch wenn ihre identitätsbasierte Richtlinie mehr Berechtigungen gewährt. Durch die Aktualisierung des CDK-Bootstrappings wird sichergestellt, dass alle von CDK erstellten Rollen automatisch diese Begrenzung erhalten, was den operativen Aufwand minimiert und die Einhaltung der Sicherheitsanforderungen erzwingt, ohne dass Entwickler manuell eingreifen müssen. Die Option mit SCPs, die iam:CreateRole und iam:UpdateRole verweigern, ist zu restriktiv, da CDK diese Aktionen benötigt, um Infrastruktur bereitzustellen. Das zentrale Erstellen von IAM-Rollen erhöht den operativen Aufwand erheblich. Die Option, Entwickler anzuweisen, die Berechtigungsbegrenzung im Code zu referenzieren, ist fehleranfällig und erhöht den operativen Aufwand, da sie auf manueller Einhaltung basiert. Die Option, SCPs nur für Entwickler zu verweigern und IAM Access Analyzer zu verwenden, löst nicht das Problem der übermäßigen Berechtigungen der von CDK erstellten Lambda-Rollen proaktiv und erfordert zusätzliche manuelle Überprüfung.