ある会社が、参照データセットを含む Amazon Elastic File System (Amazon EFS) ファイルシステムを持っています。EC2 ベースのアプリケーションはデータセットを読み取る必要がありますが、変更してはなりません。会社は、アプリケーションがデータセットを変更または削除するのを防ぐために、IAM アクセス制御を使用したいと考えています。これらの要件を満たすソリューションはどれですか？

EFSファイルシステムのリソースポリシーは、EFSへのアクセスを制御する主要なメカニズムです。elasticfilesystem:ClientWriteアクションを拒否することで、EC2インスタンスがファイルシステム内のデータを変更または削除することを効果的に防止できます。 EC2インスタンス内からEFSを読み取り専用でマウントする方法は、インスタンスレベルでの制御であり、より堅牢なセキュリティのためにはEFS自体にポリシーを適用するのが最善です。EFSファイルシステムのIDポリシーは存在しません。IAM IDポリシーはIAMユーザーやロールに直接アタッチされ、リソースにアタッチされるリソースポリシーとは異なります。EFSアクセスポイントとPOSIXファイル権限は、特定のアプリケーションやユーザーのアクセスを細かく制御できますが、ClientWriteアクションを拒否するリソースポリシーの方が、ファイルシステム全体に対する書き込みアクセスを拒否する最も直接的で効果的な方法です。