Un'applicazione in esecuzione su un'istanza Amazon EC2 deve caricare file in modo sicuro in un bucket Amazon S3. Qual è il modo PIÙ sicuro per concedere all'applicazione le autorizzazioni richieste?

La creazione di un ruolo IAM e l'associazione all'istanza EC2 è il metodo più sicuro perché elimina la necessità di gestire credenziali a lungo termine (come le chiavi di accesso) direttamente sull'istanza. L'applicazione può assumere automaticamente il ruolo IAM e ottenere credenziali temporanee, riducendo il rischio di esposizione delle chiavi. Creare un utente IAM con chiavi di accesso e archiviarle nelle variabili d'ambiente è meno sicuro perché le chiavi di accesso sono credenziali a lungo termine che, se compromesse, possono essere utilizzate indefinitamente. Creare un ruolo IAM con chiavi di accesso e archiviarle nelle variabili d'ambiente è un approccio errato; i ruoli IAM non hanno chiavi di accesso associate direttamente a loro in questo modo. Applicare una policy del bucket S3 che conceda l'accesso all'ID dell'istanza EC2 non è sufficiente. Le policy del bucket controllano l'accesso al bucket, ma l'istanza EC2 ha comunque bisogno di un meccanismo per autenticarsi con AWS e assumere le autorizzazioni necessarie per interagire con S3.