Un desarrollador está creando una aplicación por lotes que se ejecutará en una instancia de Amazon EC2 y necesita acceso de lectura a un bucket de Amazon S3. Para seguir las mejores prácticas de seguridad, ¿cómo debe el desarrollador otorgar acceso de lectura a S3 a la aplicación que se ejecuta en la instancia de EC2?

La opción correcta sigue la mejor práctica de seguridad de AWS para otorgar permisos a aplicaciones que se ejecutan en instancias EC2. Al asignar un rol de IAM a un perfil de instancia EC2, la aplicación hereda credenciales temporales, eliminando la necesidad de almacenar credenciales directamente en la instancia. Esto reduce el riesgo de exposición de credenciales. Las opciones incorrectas son: "Agregar los permisos requeridos en línea a un grupo de IAM y adjuntar ese grupo al perfil de instancia de EC2" no es posible, ya que no se pueden adjuntar grupos de IAM directamente a perfiles de instancia. Los roles son el mecanismo correcto. "Crear una política de IAM con los permisos requeridos, adjuntar la política a un usuario de IAM y adjuntar ese usuario al perfil de instancia de EC2" es incorrecto porque no se adjuntan usuarios de IAM a perfiles de instancia. Además, usar usuarios de IAM directamente para aplicaciones es una mala práctica de seguridad, ya que implica gestionar credenciales estáticas. "Crear una política de IAM con los permisos requeridos y usar la federación de identidad web de IAM para acceder a S3 con esa política" es incorrecto porque la federación de identidad web se usa para usuarios humanos externos, no para aplicaciones que se ejecutan en instancias EC2 dentro de AWS.