Mediante una plantilla de AWS CloudFormation, un arquitecto de soluciones implementa una aplicación web de tres niveles. Los niveles web y de aplicación se ejecutan en instancias EC2, y el nivel de base de datos no es accesible públicamente. Las instancias de la aplicación necesitan acceder a Amazon DynamoDB sin exponer las credenciales de la API en la plantilla. ¿Qué debe hacer el arquitecto?

La opción correcta es crear un rol de IAM con los permisos necesarios para DynamoDB, asociarlo a un perfil de instancia de EC2 y luego adjuntar ese perfil a las instancias de la aplicación. Esto permite que las instancias asuman el rol y obtengan credenciales temporales, eliminando la necesidad de almacenar credenciales de API directamente en la plantilla o en las instancias. Es una práctica de seguridad recomendada. Las otras opciones son incorrectas porque: La primera opción es incompleta; no especifica que el rol debe ser añadido a un perfil de instancia antes de asociarlo a las instancias. La tercera opción expone las credenciales de la API a través de parámetros, lo cual es una mala práctica de seguridad. La cuarta opción crea un usuario de IAM y pasa las claves de acceso y secretas a través de user data, lo que también es una mala práctica de seguridad y expone las credenciales.