Une entreprise dispose d'un système de fichiers Amazon Elastic File System (Amazon EFS) contenant un jeu de données de référence. Les applications basées sur EC2 doivent lire le jeu de données, mais ne doivent pas le modifier. L'entreprise souhaite utiliser le contrôle d'accès IAM pour empêcher les applications de modifier ou de supprimer le jeu de données. Quelle solution répond à ces exigences ?

La création d'une politique de ressource (politique de système de fichiers) sur Amazon EFS est le moyen le plus direct et granulaire de contrôler l'accès au niveau du système de fichiers en utilisant IAM. En refusant explicitement l'action elasticfilesystem:ClientWrite pour les rôles IAM des instances EC2, vous empêchez toute écriture ou modification, tout en autorisant la lecture. Monter le système de fichiers en lecture seule depuis les instances EC2 est une solution au niveau du client qui pourrait être contournée ou oubliée, et ne fournit pas un contrôle d'accès centralisé et fort via IAM. Une politique d'identité est attachée à l'utilisateur ou au rôle IAM, pas à la ressource EFS elle-même. Bien qu'elle puisse refuser l'écriture, une politique de ressource sur EFS est préférable car elle s'applique directement au système de fichiers et complète les politiques d'identité. Les points d'accès EFS avec les permissions POSIX sont utiles pour contrôler l'accès à des sous-répertoires spécifiques ou pour forcer un utilisateur spécifique, mais la question demande un contrôle au niveau du système de fichiers pour empêcher la modification de l'ensemble du jeu de données, ce que la politique de ressource gère plus efficacement pour ce cas d'utilisation.