Un ingénieur de sécurité doit restreindre l'accès de l'utilisateur IAM d'un contractuel à la console Amazon EC2 uniquement et empêcher l'accès à tous les autres services AWS, même si des autorisations supplémentaires sont accordées via l'appartenance à un groupe IAM. Que doit faire l'ingénieur de sécurité pour répondre à ces exigences ?

La création d'une politique de limite d'autorisations IAM est la bonne approche car elle définit les autorisations maximales que l'utilisateur peut avoir. Même si l'utilisateur est membre d'un groupe IAM qui accorde des autorisations plus larges, la limite d'autorisations restreindra l'accès à Amazon EC2 uniquement. Les politiques en ligne et les politiques de groupe accordent des autorisations mais ne peuvent pas les restreindre au-delà de ce qui est défini ailleurs. Un rôle IAM ne garantit pas que l'utilisateur ne peut pas accéder à d'autres services s'il dispose d'autorisations directes ou via un groupe.