Un'azienda ha un file system Amazon Elastic File System (Amazon EFS) contenente un set di dati di riferimento. Le applicazioni basate su EC2 devono leggere il set di dati ma non devono modificarlo. L'azienda vuole utilizzare il controllo degli accessi IAM per impedire alle applicazioni di modificare o eliminare il set di dati. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare una policy basata sulle risorse per il file system EFS che neghi l'azione elasticfilesystem:ClientWrite ai ruoli IAM collegati alle istanze EC2. Questo approccio garantisce che le applicazioni non possano modificare o eliminare i dati, soddisfacendo il requisito di controllo degli accessi IAM. Le policy basate sulle risorse (resource-based policies) sono allegate direttamente alla risorsa (in questo caso, il file system EFS) e specificano chi può accedere alla risorsa e quali azioni può eseguire. Montare il file system EFS in modalità di sola lettura dalle istanze EC2 è una soluzione a livello di sistema operativo, non di controllo degli accessi IAM, e potrebbe essere aggirata. Creare una policy basata sull'identità per il file system EFS che neghi l'azione elasticfilesystem:ClientWrite non è corretto perché le policy basate sull'identità sono allegate a un'identità IAM (utente, gruppo o ruolo), non alla risorsa EFS stessa. Creare un access point EFS con permessi POSIX di sola lettura è una soluzione valida per il controllo granulare, ma la domanda specifica l'uso del controllo degli accessi IAM per impedire modifiche, e la policy basata sulle risorse è il modo più diretto per raggiungere questo obiettivo a livello di servizio EFS.