Un ingegnere della sicurezza deve eseguire un template AWS CloudFormation che esegue il provisioning dell'infrastruttura per uno stack di produzione con server web e un database MySQL. Il template è stato convalidato in pre-produzione. L'esecuzione in produzione deve seguire il principio del privilegio minimo e mantenere la separazione dei compiti tra l'account IAM dell'ingegnere e CloudFormation. Quale approccio soddisfa questi requisiti?

L'opzione corretta rispetta il principio del privilegio minimo e la separazione dei compiti. IAM Access Analyzer Policy Generation aiuta a creare una policy granulare basata sulle azioni reali del template, garantendo che CloudFormation abbia solo i permessi necessari. Allegare questa policy a un nuovo ruolo IAM e consentire all'ingegnere di utilizzare PassRole per CloudFormation significa che l'ingegnere non assume direttamente i permessi elevati, ma li delega a CloudFormation per l'esecuzione dello stack. Le opzioni errate: Creare una policy con ec2: e rds: concede privilegi eccessivi, violando il principio del privilegio minimo. AssumeRole per l'ingegnere non è necessario per l'esecuzione di CloudFormation con un ruolo di servizio. Aggiornare le autorizzazioni dell'ingegnere per eseguire il template direttamente con permessi elevati viola la separazione dei compiti e il privilegio minimo. Sebbene l'ultima opzione includa PassRole, la creazione manuale di una policy con ec2: e rds: è troppo permissiva. Il simulatore di policy è utile, ma non sostituisce la generazione di policy basata sull'uso effettivo per il privilegio minimo.