Une politique d'entreprise autorise les ingénieurs à provisionner uniquement des ressources approuvées et impose l'utilisation d'AWS CloudFormation pour créer ces ressources. Vous devez appliquer cette restriction pour le rôle IAM que les ingénieurs endossent. Que devez-vous faire pour mettre en œuvre cette application ?

La bonne approche consiste à séparer les permissions. Le rôle IAM des ingénieurs doit uniquement avoir les permissions pour interagir avec CloudFormation (créer, mettre à jour, supprimer des piles). Un rôle de service IAM distinct, avec les permissions pour provisionner les ressources AWS approuvées, est créé. CloudFormation assume ce rôle de service lors de la création des piles, garantissant que seules les ressources autorisées par ce rôle peuvent être provisionnées. Cela applique la politique d'entreprise en limitant directement ce que CloudFormation peut créer, plutôt que de se fier uniquement aux actions des ingénieurs. Les autres options sont moins sécurisées ou moins efficaces. Limiter l'accès S3 et CloudFormation ne garantit pas que seuls les modèles approuvés sont utilisés ni que les ressources créées sont approuvées. Mettre à jour la politique du rôle des ingénieurs pour autoriser le provisionnement direct des ressources approuvées contourne l'exigence d'utiliser CloudFormation pour toutes les créations. Limiter l'accès aux piles possédées par l'ingénieur n'empêche pas la création de ressources non approuvées via CloudFormation.