Fabrikam Games erlaubt seiner DevOps-Gruppe, IAM-Rollen für EC2-Workloads zu erstellen. Die Sicherheit muss gewährleisten, dass jede von ihnen erstellte Rolle einen definierten Satz von Berechtigungen (nur Lesezugriff auf die DynamoDB-Tabelle Scores und Veröffentlichung in CloudWatch Logs) nicht überschreiten kann, unabhängig davon, welche Richtlinien DevOps später anhängt. Was ist der EFFEKTIVSTE Ansatz?

Die korrekte Antwort ist die effektivste, da IAM-Berechtigungsgrenzen (Permissions Boundaries) die maximale Berechtigungsmenge festlegen, die einer IAM-Identität zugewiesen werden kann. Indem die iam:CreateRole- und Rollenaktualisierungsaktionen an die Bedingung geknüpft werden, dass eine spezifische Berechtigungsgrenze verwendet wird, wird sichergestellt, dass keine von DevOps erstellte Rolle die vordefinierten Berechtigungen (DynamoDB-Lesezugriff und CloudWatch Logs-Veröffentlichung) überschreiten kann. Die Option, jedem DevOps-Benutzer eine Berechtigungsgrenze zuzuweisen, ist ineffektiv, da diese nur für den Benutzer selbst gilt, nicht für die von ihm erstellten Rollen. Ein SCP auf die DevOps-OU anzuwenden, wäre zu restriktiv, da es alle Aktionen für alle Prinzipale in dieser OU einschränken würde, nicht nur die erstellten Rollen. Eine DynamoDB-Ressourcenrichtlinie würde nur den Zugriff auf die DynamoDB-Tabelle steuern und nicht die Berechtigungen der IAM-Rollen insgesamt begrenzen.