El gerente de control de calidad actualmente lanza entornos de prueba de aplicaciones utilizando una plantilla de CloudFormation en una cuenta de AWS asumiendo un rol con permisos de CloudFormation, EC2 y Auto Scaling. El departamento de control de calidad quiere que los evaluadores puedan lanzar sus propios entornos de corta duración, pero los evaluadores no deben recibir permisos amplios. ¿Qué configuración cumplirá estos objetivos?

La opción correcta es crear un producto de AWS Service Catalog. Service Catalog permite a los usuarios lanzar recursos de AWS preaprobados sin otorgarles permisos directos a los servicios subyacentes. Al crear un producto a partir de la plantilla de CloudFormation existente y usar una restricción de lanzamiento con el rol del gerente, los evaluadores pueden lanzar entornos de prueba de forma segura. Solo necesitan permisos para Service Catalog, lo que cumple el requisito de permisos restringidos. Las otras opciones son incorrectas porque: Otorgar a los usuarios permisos para asumir el rol del gerente con una política restrictiva es complejo de gestionar y auditar, y aún expone el rol del gerente. Otorgar a los usuarios permisos directos de CloudFormation y S3, incluso con condiciones, es menos seguro y más propenso a errores que usar Service Catalog, que está diseñado para este caso de uso. Elastic Beanstalk es para implementar aplicaciones, no para gestionar el lanzamiento de entornos de infraestructura arbitrarios definidos por CloudFormation de forma controlada para usuarios finales con permisos limitados.