Gli sviluppatori assumono il ruolo di deployment di AWS CDK per distribuire l'infrastruttura che include le funzioni Lambda e i loro ruoli IAM. Una revisione della sicurezza ha rilevato che gli sviluppatori e il ruolo di deployment di CDK hanno permessi eccessivi e che i ruoli Lambda creati da CDK sono eccessivamente permissivi. Gli sviluppatori non devono essere in grado di concedere permessi aggiuntivi. Quale approccio soddisfa il requisito con il minor overhead operativo?

L'opzione corretta utilizza un IAM permissions boundary per limitare i permessi massimi che i ruoli creati da CDK possono avere. Aggiornando il bootstrapping di CDK dell'account e configurando il permissions boundary predefinito dell'applicazione CDK, si garantisce che tutti i ruoli Lambda creati tramite CDK aderiscano automaticamente ai permessi massimi definiti, senza richiedere modifiche al codice degli sviluppatori. Questo riduce l'overhead operativo e impedisce agli sviluppatori di concedere permessi eccessivi. Le opzioni che utilizzano SCP per negare iam:CreateRole e iam:UpdateRole sono troppo restrittive e impedirebbero a CDK di creare o aggiornare qualsiasi ruolo, bloccando di fatto i deployment. L'opzione che richiede agli sviluppatori di fare riferimento al permissions boundary nel loro codice CDK introduce un overhead operativo e si basa sulla conformità manuale, che è soggetta a errori.