Un ingeniero de seguridad debe restringir el acceso del usuario de IAM de un contratista únicamente a la consola de Amazon EC2 y evitar el acceso a todos los demás servicios de AWS, incluso si se otorgan permisos adicionales a través de la membresía del grupo de IAM. ¿Qué debe hacer el ingeniero de seguridad para cumplir con estos requisitos?

La opción correcta es crear una política de límites de permisos de IAM y adjuntarla al usuario del contratista. Un límite de permisos establece la permisividad máxima para una entidad de IAM, lo que significa que el usuario nunca podrá exceder los permisos definidos en esta política, independientemente de cualquier otra política de permisos (ya sea en línea, adjunta directamente o heredada de un grupo). Esto asegura que el contratista solo pueda acceder a EC2. Adjuntar una política en línea o añadir el usuario a un grupo con permisos de EC2 no impide que permisos adicionales de otros grupos o políticas directas puedan otorgar acceso a otros servicios. Crear un rol de IAM y pedir al contratista que lo asuma es una solución viable, pero el límite de permisos es más directo para restringir la permisividad máxima de un usuario específico.