Un ingénieur DevOps doit permettre aux développeurs de déployer des piles CloudFormation même si le rôle IAM du développeur ne dispose pas des autorisations nécessaires pour créer les ressources définies dans les modèles. La solution doit suivre le principe du moindre privilège. Quelle approche satisfait cette exigence ?

L'approche correcte consiste à créer un rôle de service CloudFormation (rôle d'exécution) avec les autorisations nécessaires pour créer les ressources spécifiées dans les modèles. Les développeurs n'ont pas besoin d'avoir ces autorisations directement. Au lieu de cela, ils ont besoin de la permission iam:PassRole sur ce rôle de service. Cette permission leur permet d'indiquer à CloudFormation d'assumer ce rôle lors du déploiement de la pile, déléguant ainsi les privilèges nécessaires à CloudFormation sans que le développeur ne les possède directement, respectant ainsi le principe du moindre privilège. Les autres options sont incorrectes car : Créer une politique IAM qui autorise les développeurs à provisionner les ressources requises et l'attacher au rôle du développeur donnerait aux développeurs des privilèges directs sur les ressources, ce qui va à l'encontre du principe du moindre privilège. Créer une politique IAM qui autorise un accès complet à AWS CloudFormation est trop permissif et ne respecte pas le principe du moindre privilège. Accorder au rôle IAM du développeur une action cloudformation: est également trop permissif et ne permet pas le contrôle granulaire des ressources sous-jacentes.