Une entreprise exécute une application utilisant Amazon ECS. L'application crée des versions redimensionnées d'une image originale, puis effectue des appels d'API Amazon S3 pour stocker les images redimensionnées dans Amazon S3. Comment un architecte de solutions peut-il s'assurer que l'application dispose des autorisations nécessaires pour accéder à Amazon S3 ?

La bonne approche consiste à créer un rôle IAM avec les autorisations S3 nécessaires et à l'associer à la tâche ECS via le paramètre taskRoleArn dans la définition de tâche. Cela permet aux conteneurs de la tâche d'assumer ce rôle et d'obtenir des informations d'identification temporaires pour accéder à S3, suivant le principe du moindre privilège. Mettre à jour un rôle S3 dans AWS IAM n'est pas une pratique standard pour accorder des autorisations à ECS ; ECS utilise des rôles de tâche ou d'exécution. Créer un groupe de sécurité pour autoriser l'accès à S3 est incorrect car S3 est un service public et l'accès est contrôlé par IAM, non par des groupes de sécurité réseau. Créer un utilisateur IAM et se connecter avec n'est pas la méthode recommandée pour les applications s'exécutant sur ECS ; les rôles de tâche sont conçus pour cela, offrant une gestion des identités plus sécurisée et automatisée.