Uno sviluppatore sta creando un'applicazione batch che verrà eseguita su un'istanza Amazon EC2 e necessita dell'accesso in lettura a un bucket Amazon S3. Per seguire le best practice di sicurezza, in che modo lo sviluppatore dovrebbe concedere l'accesso in lettura a S3 all'applicazione in esecuzione sull'istanza EC2?

La best practice di sicurezza per concedere autorizzazioni a un'applicazione in esecuzione su un'istanza EC2 è utilizzare i ruoli IAM. Creando una policy IAM con le autorizzazioni di lettura S3 necessarie e allegandola a un ruolo IAM, è possibile assegnare questo ruolo al profilo dell'istanza EC2. L'applicazione sull'istanza assumerà automaticamente le credenziali temporanee associate a quel ruolo, eliminando la necessità di archiviare credenziali statiche sull'istanza e migliorando la sicurezza. Le altre opzioni sono meno sicure o non praticabili: Allegare autorizzazioni a un gruppo IAM e poi al profilo dell'istanza EC2 non è un meccanismo valido per le istanze EC2. I gruppi IAM sono per gli utenti IAM. Allegare una policy a un utente IAM e poi allegare l'utente al profilo dell'istanza EC2 non è il modo corretto per le istanze EC2. Le istanze utilizzano i ruoli. La federazione delle identità web IAM è per l'autenticazione di utenti esterni tramite provider di identità di terze parti, non per concedere autorizzazioni a servizi AWS in esecuzione su EC2.