Utilizzando un template AWS CloudFormation, un architetto di soluzioni distribuisce un'applicazione web a tre livelli. I livelli web e applicativo sono eseguiti su istanze EC2 e il livello database non è accessibile pubblicamente. Le istanze dell'applicazione devono accedere ad Amazon DynamoDB senza esporre le credenziali API nel template. Cosa dovrebbe fare l'architetto?

La soluzione corretta è creare un ruolo IAM con le autorizzazioni necessarie per accedere a DynamoDB e associarlo alle istanze EC2 tramite un profilo di istanza. Questo è il metodo più sicuro e consigliato da AWS per fornire credenziali alle istanze EC2, poiché elimina la necessità di incorporare credenziali API direttamente nel template o nel codice dell'applicazione. Le istanze EC2 assumeranno automaticamente il ruolo IAM e otterranno le autorizzazioni temporanee. Le opzioni che suggeriscono di utilizzare chiavi di accesso e segrete direttamente nel template o tramite i dati utente sono meno sicure, in quanto espongono le credenziali e rendono più difficile la loro rotazione e gestione. L'opzione che menziona solo la lettura è incompleta, dato che l'applicazione potrebbe aver bisogno anche di scrivere su DynamoDB.