Deux microservices conteneurisés s'exécutent sur Amazon ECS sur des instances EC2. Le service A lit à partir d'une base de données Amazon Aurora (RDS) ; le service B lit à partir d'une table DynamoDB. Comment pouvez-vous accorder à chaque microservice les privilèges minimaux requis ?

La bonne approche consiste à utiliser des rôles de tâche IAM pour attribuer des autorisations granulaires à chaque microservice. En définissant ECSENABLETASKIAMROLE sur true, vous activez la fonctionnalité qui permet aux tâches ECS d'assumer des rôles IAM spécifiques. Ensuite, vous créez un rôle de tâche IAM distinct pour le service A avec un accès en lecture seule à Aurora, et un autre rôle de tâche IAM pour le service B avec un accès en lecture seule à DynamoDB. Cela garantit le principe du moindre privilège, car chaque service n'obtient que les autorisations dont il a besoin. Les options qui définissent ECSENABLETASKIAMROLE sur false empêchent l'utilisation des rôles de tâche IAM, ce qui est une mauvaise pratique de sécurité. Les options qui accordent au rôle de profil d'instance EC2 un accès à la fois à Aurora et à DynamoDB violent le principe du moindre privilège, car l'instance sous-jacente aurait des autorisations excessives et non spécifiques à la tâche.