Una policy aziendale consente agli ingegneri di effettuare il provisioning solo di risorse approvate e impone l'utilizzo di AWS CloudFormation per creare tali risorse. È necessario applicare questa restrizione per il ruolo IAM che gli ingegneri assumono. Cosa si dovrebbe fare per implementare l'applicazione?

L'opzione corretta implementa il principio del privilegio minimo e la separazione dei compiti. Limitando il ruolo IAM degli ingegneri alle sole azioni di CloudFormation (come CreateStack, UpdateStack), si impedisce loro di effettuare il provisioning diretto di risorse non approvate. Il ruolo di servizio IAM, assunto da CloudFormation, è quello che detiene le autorizzazioni effettive per creare le risorse AWS. Questo garantisce che solo le risorse definite nei modelli CloudFormation, che sono implicitamente approvati se gli ingegneri possono usarli, vengano create. Le altre opzioni sono meno sicure o non applicano la restrizione in modo efficace: Caricare i modelli in S3 e limitare l'accesso a S3 e CloudFormation non impedisce agli ingegneri di creare modelli arbitrari e usarli. Aggiornare la policy del ruolo IAM degli ingegneri per consentire solo tipi di risorse approvati e azioni CloudFormation è parzialmente corretto, ma non impone l'uso esclusivo di CloudFormation per il provisioning delle risorse, né impedisce agli ingegneri di creare risorse al di fuori di CloudFormation se hanno i permessi diretti. Richiedere agli ingegneri di utilizzare gli stack CloudFormation e limitare l'accesso ai soli stack di proprietà dell'ingegnere non impedisce la creazione di risorse non approvate all'interno di tali stack.