Una empresa creará un clúster de Amazon EMR para varios equipos. Las cargas de trabajo de cada equipo deben tener acceso solo a los servicios de AWS que necesitan. La empresa tampoco quiere que las cargas de trabajo puedan acceder a Instance Metadata Service Version 2 (IMDSv2) en las instancias EC2 del clúster. ¿Qué solución cumple estos requisitos?

La opción correcta es crear roles de tiempo de ejecución de EMR. EMR Runtime Roles permite a los equipos definir roles de IAM específicos para cada carga de trabajo, lo que garantiza que solo tengan acceso a los servicios de AWS necesarios. Además, los roles de tiempo de ejecución de EMR están configurados para usar automáticamente IMDSv2 y deshabilitar el acceso a IMDSv1, lo que cumple con el requisito de seguridad. La configuración de puntos de conexión de VPC de interfaz no gestiona los permisos a nivel de carga de trabajo ni el acceso a IMDS. Crear un perfil de instancia de IAM de EC2 para cada equipo no es escalable y no restringe el acceso a IMDSv1 directamente. Una configuración de seguridad de EMR con EnableApplicationScopedIAMRole establecido en false deshabilitaría los roles de tiempo de ejecución, lo que iría en contra del requisito de permisos específicos por carga de trabajo.