開発者はAWS CDKデプロイロールを引き受けて、Lambda関数とそのIAMロールを含むインフラストラクチャをデプロイします。セキュリティレビューにより、開発者とCDKデプロイロールに過剰な権限があり、CDKによって作成されたLambdaロールの権限が過剰であることが判明しました。開発者は追加の権限を付与できないようにする必要があります。運用上のオーバーヘッドが最も少ない要件を満たすアプローチはどれですか？

このアプローチは、IAM権限境界を使用して、CDKデプロイロールとそれによって作成されるLambdaロールの両方の最大権限を効果的に制限します。アカウントのCDKブートストラップを更新することで、すべてのCDKアプリケーションがデフォルトでこの権限境界を使用するようになり、運用上のオーバーヘッドを最小限に抑えながら、開発者が追加の権限を付与できないようにします。 他の選択肢は、不十分な制限、手動での参照の必要性、または運用オーバーヘッドの増加につながります。SCPはアカウント全体に影響を与えすぎる可能性があり、開発者が手動で権限境界を参照するように要求するとエラーが発生しやすくなります。IAM Access Analyzerは権限を確認するのに役立ちますが、過剰な権限の付与を防止するものではありません。