Une entreprise de services financiers développe une solution d'analyse sur Amazon EMR pour les données d'enquête. Trois profils d'utilisateurs ont besoin d'un accès contrôlé et avec le moindre privilège : l'administrateur (provisionne les clusters EMR), l'ingénieur de données (exécute l'ETL) et l'analyste de données (exécute les requêtes SQL/Hive). Les profils ne doivent pouvoir lancer que des applications approuvées/autorisées et toutes les ressources qu'ils créent doivent être taguées. Quelle solution applique ces exigences ?

AWS Service Catalog permet de créer et de gérer des catalogues de services informatiques approuvés pour une utilisation sur AWS. Il répond aux exigences en permettant de définir des produits (par exemple, des clusters EMR avec des configurations spécifiques) et de contrôler qui peut les lancer. Les contraintes peuvent être appliquées pour garantir que seules les applications approuvées sont lancées et que les ressources sont automatiquement taguées. Les rôles IAM pour chaque profil peuvent être utilisés pour accorder l'accès à des produits spécifiques dans Service Catalog, garantissant ainsi un accès contrôlé et le moindre privilège. Les autres options sont moins complètes : Les rôles IAM seuls ne garantissent pas l'utilisation d'applications approuvées ni le marquage automatique. AWS Config détecte les non-conformités mais ne les empêche pas. Kerberos est une solution d'authentification forte, mais ne gère pas le contrôle des applications ni le marquage des ressources. CloudFormation peut lancer des clusters et attacher des politiques, mais ne fournit pas le même niveau de contrôle sur les versions et configurations approuvées que Service Catalog, ni la gestion des autorisations pour les utilisateurs finaux de manière aussi intégrée.