Les développeurs assument le rôle de déploiement AWS CDK pour déployer une infrastructure qui inclut des fonctions Lambda et leurs rôles IAM. Un examen de sécurité a révélé que les développeurs et le rôle de déploiement CDK ont des autorisations excessives, et que les rôles Lambda créés par CDK sont trop permissifs. Les développeurs ne doivent pas être en mesure d'accorder des autorisations supplémentaires. Quelle approche répond à l'exigence avec le moins de frais opérationnels ?

L'option correcte utilise une politique de limite d'autorisations IAM pour restreindre les autorisations maximales que les rôles créés par CDK peuvent avoir. En configurant le bootstrapping CDK du compte pour utiliser cette limite et en la définissant comme limite par défaut pour l'application CDK, tous les rôles IAM créés par CDK seront automatiquement contraints par cette politique, empêchant les autorisations excessives sans intervention manuelle des développeurs. Cela répond à l'exigence avec le moins de frais opérationnels car la restriction est appliquée au niveau du compte et du framework. Les autres options sont moins efficaces : Refuser iam:CreateRole et iam:UpdateRole via une SCP empêcherait les développeurs de déployer l'infrastructure, ce qui est contraire à leur rôle. Demander aux développeurs de référencer manuellement la politique de limite d'autorisations introduit un risque d'erreur humaine et ne garantit pas l'application de la contrainte. Autoriser le rôle de déploiement CDK à créer des rôles Lambda sans limite d'autorisations ne résout pas le problème des rôles trop permissifs, et l'exécution d'IAM Access Analyzer est une mesure réactive plutôt que préventive.