Un ingénieur DevOps a écrit une politique IAM utilisée par une fonction Lambda qui arrête les instances EC2 taguées Environment: NonProduction le week-end. La politique a été signalée comme étant trop permissive. Quels changements l'ingénieur devrait-il apporter pour suivre le principe du moindre privilège ? (Sélectionnez trois.)

La modification de "Resource": "" en "Resource": "arn:aws:ec2:::instance/" est cruciale pour le principe du moindre privilège car elle restreint les actions de la fonction Lambda aux seules instances EC2. Sans cette modification, la fonction pourrait potentiellement affecter d'autres types de ressources EC2 (comme les volumes EBS ou les snapshots) ou même des ressources d'autres services AWS, ce qui est inutile pour l'objectif de l'arrêt d'instances. Les autres options incorrectes sont : Ajouter l'expression conditionnelle suivante : "Condition": { "StringEquals": { "ec2:ResourceTag/Environment": "NonProduction" } } est une bonne pratique pour cibler les instances spécifiques, mais ne réduit pas la portée des ressources sur lesquelles l'action peut être tentée. Changer "Action": "ec2:" en "Action": "ec2:StopInstances" est une autre excellente pratique de moindre privilège, car elle limite l'action à la seule opération nécessaire (arrêter les instances) plutôt que de permettre toutes les actions EC2. Cependant, la question demande de sélectionner trois options, et cette option n'était pas la réponse correcte dans le contexte donné. Les autres options de condition sont soit redondantes, soit incorrectes syntaxiquement ou logiquement pour cet objectif.