Un ingegnere della sicurezza deve limitare l'utente IAM di un collaboratore al solo accesso alla console Amazon EC2 e impedire l'accesso a tutti gli altri servizi AWS, anche se vengono concesse autorizzazioni aggiuntive tramite l'appartenenza a un gruppo IAM. Cosa dovrebbe fare l'ingegnere della sicurezza per soddisfare questi requisiti?

La creazione di una policy di permissions boundary IAM e l'associazione di essa all'utente IAM del collaboratore è la soluzione più efficace. Un permissions boundary definisce le autorizzazioni massime che un utente o un ruolo può avere. Anche se l'utente è membro di un gruppo IAM con policy più permissive, il permissions boundary limiterà le autorizzazioni effettive solo a quelle consentite dal boundary stesso. Questo garantisce che l'utente possa accedere solo ad Amazon EC2, indipendentemente da altre policy applicate. Le altre opzioni sono meno efficaci: Allegare una policy inline all'utente non impedisce che policy di gruppo più ampie possano concedere accesso ad altri servizi. Aggiungere l'utente a un gruppo IAM con una policy EC2 non impedisce che l'utente possa essere aggiunto ad altri gruppi con policy più ampie. Creare un ruolo IAM richiede che l'utente assuma esplicitamente il ruolo, il che non garantisce che non possa accedere ad altri servizi con le proprie credenziali utente se non adeguatamente limitato.