Un'applicazione utilizza attualmente un ruolo IAM eccessivamente permissivo che concede l'accesso completo a tutti i servizi AWS. L'amministratore SysOps deve produrre una policy che conceda solo le autorizzazioni effettivamente richieste dall'applicazione. Quali passaggi dovrebbe intraprendere l'amministratore per generare una tale policy?

L'opzione corretta è abilitare AWS CloudTrail e quindi utilizzare IAM Access Analyzer per generare una policy con privilegi minimi dall'attività registrata. CloudTrail registra tutte le chiamate API effettuate nell'account AWS, fornendo i dati necessari per identificare le azioni specifiche eseguite dall'applicazione. IAM Access Analyzer può quindi analizzare questi log di CloudTrail per suggerire una policy IAM con privilegi minimi che includa solo le autorizzazioni effettivamente utilizzate. Le altre opzioni sono errate perché: Abilitare CloudTrail e utilizzare Security Hub per generare la policy: Security Hub è un servizio di gestione della postura di sicurezza e non genera policy IAM basate sull'attività. Abilitare EventBridge e utilizzare IAM Access Analyzer per generare la policy: EventBridge (precedentemente CloudWatch Events) è un servizio di routing di eventi e non è direttamente coinvolto nella generazione di policy IAM basate sull'attività. Eseguire il comando AWS CLI get-generated-policy in IAM Access Analyzer: Sebbene esista un comando simile, la generazione della policy si basa sull'analisi dei log di CloudTrail, che devono essere abilitati e contenere i dati pertinenti. Il comando da solo non può generare una policy senza i dati di attività sottostanti.