Un ingénieur de sécurité remplace des politiques IAM gérées par AWS, trop permissives, attachées à un rôle IAM utilisé par un script exécuté avec l'AWS CLI. Le rôle actuel dispose des autorisations AmazonEC2FullAccess, AmazonDynamoDBFullAccess et AmazonVPCFullAccess. L'ingénieur doit créer une politique de moindre privilège de la manière la plus efficace sur le plan opérationnel. Que doit faire l'ingénieur ?

La méthode la plus efficace opérationnellement pour créer une politique de moindre privilège est d'utiliser IAM Access Analyzer pour générer une politique basée sur l'activité réelle. En activant CloudTrail pour enregistrer les événements de gestion et en exécutant le script avec les politiques existantes (trop permissives), IAM Access Analyzer peut analyser les journaux CloudTrail pour identifier les actions réellement utilisées par le rôle. Il génère ensuite une politique de moindre privilège qui inclut uniquement les autorisations nécessaires. Les autres options sont moins efficaces : Supprimer les politiques gérées existantes et attacher le générateur de politiques de rôle IAM Access Analyzer au rôle avant d'exécuter le script ne fonctionnera pas car le script n'aura aucune autorisation pour s'exécuter. Créer un analyseur de compte et une règle d'archivage dans IAM Access Analyzer est pour l'analyse des accès externes, pas pour la génération de politiques basées sur l'activité interne. Supprimer les politiques gérées existantes et ajouter itérativement les autorisations est un processus manuel, long et sujet aux erreurs.