Due microservizi containerizzati sono in esecuzione su Amazon ECS su istanze EC2. Il Servizio A legge da un database Amazon Aurora (RDS); il Servizio B legge da una tabella DynamoDB. Come è possibile concedere a ciascun microservizio i privilegi minimi richiesti?

Per concedere i privilegi minimi richiesti a ciascun microservizio in Amazon ECS, è fondamentale utilizzare i ruoli IAM per le attività (Task IAM Roles). Impostando ECSENABLETASKIAMROLE su true all'avvio dell'agente ECS, si abilita la possibilità di assegnare ruoli IAM specifici a singole attività (task) ECS. Questo permette al Servizio A di avere un ruolo IAM con accesso in sola lettura solo al database Aurora e al Servizio B di avere un ruolo IAM con accesso in sola lettura solo alla tabella DynamoDB. Questa è la pratica di sicurezza raccomandata per il principio del privilegio minimo. Le opzioni che impostano ECSENABLETASKIAMROLE su false impediscono l'uso dei ruoli IAM per le attività, costringendo i container a ereditare le autorizzazioni dal ruolo del profilo dell'istanza EC2, il che non consente la granularità necessaria. Concedere al ruolo del profilo dell'istanza EC2 l'accesso a entrambi i database violerebbe il principio del privilegio minimo, in quanto ogni servizio avrebbe accesso a risorse non necessarie.