Una empresa tiene un sistema de archivos de Amazon Elastic File System (Amazon EFS) que contiene un conjunto de datos de referencia. Las aplicaciones basadas en EC2 necesitan leer el conjunto de datos, pero no deben modificarlo. La empresa quiere usar el control de acceso de IAM para evitar que las aplicaciones modifiquen o eliminen el conjunto de datos. ¿Qué solución cumple estos requisitos?

La opción correcta es crear una política de recursos de EFS que deniegue elasticfilesystem:ClientWrite a los roles de IAM de las instancias EC2. Las políticas de recursos (basadas en recursos) se adjuntan directamente al recurso (en este caso, el sistema de archivos EFS) y son la forma más efectiva de controlar el acceso a nivel de recurso. Al denegar explícitamente la acción de escritura, se garantiza que las aplicaciones no puedan modificar el conjunto de datos. Montar el sistema de archivos en modo de solo lectura desde las instancias EC2 es una medida de seguridad a nivel del sistema operativo, pero no evita que un usuario con permisos de IAM adecuados monte el sistema de archivos en modo de escritura desde otra instancia. Una política de identidad se adjunta a una entidad de IAM (usuario o rol), no al recurso EFS, por lo que no es la forma más directa de controlar el acceso al recurso en sí. Los puntos de acceso de EFS con permisos POSIX controlan el acceso a nivel de archivo/directorio dentro del sistema de archivos, pero la pregunta busca una solución de control de acceso de IAM para evitar la modificación del conjunto de datos completo, lo cual se logra mejor con una política de recursos de EFS.