Une entreprise va créer un cluster Amazon EMR pour plusieurs équipes. Les charges de travail de chaque équipe ne doivent avoir accès qu'aux services AWS dont elles ont besoin. L'entreprise ne souhaite pas non plus que les charges de travail puissent accéder à l'Instance Metadata Service Version 2 (IMDSv2) sur les instances EC2 du cluster. Quelle solution répond à ces exigences ?

La création de rôles d'exécution EMR est la solution la plus appropriée. EMR Execution Roles (rôles d'exécution EMR) permettent d'attribuer des autorisations IAM spécifiques à chaque charge de travail soumise à un cluster EMR, garantissant ainsi que chaque équipe n'accède qu'aux services AWS nécessaires. Ces rôles peuvent être configurés pour exiger IMDSv2, empêchant ainsi l'accès à IMDSv1 et améliorant la sécurité. Les points de terminaison d'interface VPC contrôlent l'accès réseau aux services, mais ne gèrent pas les autorisations granulaires des charges de travail. Un profil d'instance IAM EC2 s'applique à toutes les charges de travail sur l'instance, ne permettant pas une isolation des autorisations par équipe. Une configuration de sécurité EMR avec EnableApplicationScopedIAMRole définie sur false désactiverait la fonctionnalité de rôles d'exécution, ce qui est contraire à l'objectif de permissions granulaires.