Un'azienda creerà un cluster Amazon EMR per più team. I carichi di lavoro di ciascun team dovrebbero avere accesso solo ai servizi AWS di cui hanno bisogno. L'azienda inoltre non vuole che i carichi di lavoro possano accedere all'Instance Metadata Service Version 2 (IMDSv2) sulle istanze EC2 del cluster. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare ruoli di runtime EMR e configurare il cluster per utilizzarli. I ruoli di runtime EMR consentono di definire autorizzazioni granulari per i singoli carichi di lavoro (job o step) eseguiti su un cluster EMR, garantendo che ogni team abbia accesso solo ai servizi AWS necessari. Inoltre, i ruoli di runtime EMR sono progettati per funzionare con IMDSv2 disabilitato o configurato per richiedere l'autenticazione, impedendo l'accesso non autorizzato ai metadati dell'istanza. Le altre opzioni non soddisfano tutti i requisiti: Gli endpoint VPC di interfaccia migliorano la sicurezza della rete, ma non gestiscono l'autorizzazione granulare a livello di carico di lavoro o la protezione IMDSv2. Un profilo di istanza IAM EC2 si applica a tutte le istanze del cluster, non consentendo autorizzazioni specifiche per team o carichi di lavoro individuali. Una configurazione di sicurezza EMR con EnableApplicationScopedIAMRole impostato su false disabilita proprio la funzionalità dei ruoli di runtime, che è necessaria per questo caso d'uso.