Un développeur crée une application de traitement par lots qui s'exécutera sur une instance Amazon EC2 et qui a besoin d'un accès en lecture à un compartiment Amazon S3. Pour suivre les bonnes pratiques de sécurité, comment le développeur doit-il accorder l'accès en lecture à S3 à l'application s'exécutant sur l'instance EC2 ?

La création d'une politique IAM attachée à un rôle IAM, puis l'attribution de ce rôle au profil d'instance EC2, est la méthode recommandée et la plus sécurisée pour accorder des autorisations aux applications s'exécutant sur des instances EC2. Cela permet à l'instance d'assumer temporairement les autorisations du rôle sans avoir besoin de stocker des identifiants à long terme sur l'instance. Attacher une politique à un groupe IAM n'est pas une option directe pour les profils d'instance. Attacher une politique à un utilisateur IAM, puis l'associer à l'instance, est une mauvaise pratique car cela impliquerait de gérer des identifiants statiques sur l'instance, ce qui est moins sécurisé. La fédération d'identité web IAM est utilisée pour les utilisateurs finaux accédant à AWS via des fournisseurs d'identité externes, pas pour les applications s'exécutant sur des instances EC2.