Los desarrolladores asumen el rol de despliegue de AWS CDK para desplegar infraestructura que incluye funciones Lambda y sus roles de IAM. Una revisión de seguridad encontró que los desarrolladores y el rol de despliegue de CDK tienen permisos excesivos, y los roles de Lambda creados por CDK son demasiado permisivos. Los desarrolladores no deben poder otorgar permisos adicionales. ¿Qué enfoque cumple con el requisito con la menor sobrecarga operativa?

La opción correcta utiliza los límites de permisos de IAM para controlar los permisos máximos que cualquier rol creado por CDK puede tener. Al actualizar el bootstrapping de CDK de la cuenta para usar este límite de permisos y configurar el límite predeterminado de la aplicación CDK, se aplica automáticamente a todos los roles creados por CDK sin requerir cambios en el código de los desarrolladores, lo que minimiza la sobrecarga operativa. La opción de SCP que deniega iam:CreateRole y iam:UpdateRole es demasiado restrictiva, ya que los desarrolladores necesitan crear roles de Lambda. La opción de SCP que permite al rol de despliegue de CDK crear roles de Lambda aún permite roles excesivamente permisivos y requiere Access Analyzer para la verificación, lo que añade sobrecarga. La opción de instruir a los desarrolladores para que hagan referencia al límite de permisos en su código es menos efectiva porque depende de la adherencia manual y no es una aplicación forzada a nivel de cuenta.