セキュリティエンジニアは、請負業者のIAMユーザーをAmazon EC2コンソールアクセスのみに制限し、IAMグループメンバーシップを通じて追加の権限が付与された場合でも、他のすべてのAWSサービスへのアクセスを防止する必要があります。これらの要件を満たすために、セキュリティエンジニアは何をすべきですか？

IAMパーミッションバウンダリは、ユーザーまたはロールにアタッチできる権限の最大値を設定します。この場合、EC2へのアクセスのみを許可するパーミッションバウンダリを請負業者のIAMユーザーにアタッチすることで、グループポリシーを通じて追加の権限が付与されたとしても、そのユーザーがEC2以外のサービスにアクセスすることを効果的に防止できます。インラインポリシーはグループポリシーによって上書きされる可能性があり、IAMグループへの追加だけでは、グループ外で付与された追加の権限を制限できません。IAMロールは、請負業者が常に引き受けることを強制できないため、この要件を満たしません。