ある企業が複数のチーム向けにAmazon EMRクラスターを作成します。各チームのワークロードは、必要なAWSサービスにのみアクセスできる必要があります。また、企業はワークロードがクラスターのEC2インスタンス上のInstance Metadata Service Version 2 (IMDSv2)にアクセスできないようにしたいと考えています。これらの要件を満たすソリューションはどれですか？

EMRランタイムロールは、各チームのワークロードに固有のIAMロールを割り当て、必要なAWSサービスへのアクセスをきめ細かく制御できます。これにより、最小権限の原則が適用されます。また、EMRランタイムロールを使用すると、EC2インスタンスプロファイルとは異なり、IMDSv2へのアクセスを自動的に制限できます。 インターフェースVPCエンドポイントは、VPCとAWSサービス間のプライベート接続を提供しますが、ワークロードの権限管理やIMDSv2へのアクセス制限には直接関係ありません。EC2 IAMインスタンスプロファイルは、EC2インスタンスに権限を付与しますが、各ワークロードに固有の権限を付与するのには適しておらず、IMDSv2へのアクセス制限も直接行いません。EnableApplicationScopedIAMRoleオプションをfalseに設定したEMRセキュリティ設定は、アプリケーションレベルでのIAMロールの使用を無効にするため、各ワークロードに固有の権限を付与するという要件に反します。