보안 엔지니어는 계약자의 IAM 사용자가 Amazon EC2 콘솔에만 액세스하도록 제한하고, IAM 그룹 멤버십을 통해 추가 권한이 부여되더라도 다른 모든 AWS 서비스에 대한 액세스를 방지해야 합니다. 이러한 요구 사항을 충족하기 위해 보안 엔지니어는 무엇을 해야 할까요?

정답은 IAM 권한 경계를 사용하여 계약자의 IAM 사용자에게 Amazon EC2 콘솔 액세스만 허용하고 다른 모든 AWS 서비스에 대한 액세스를 방지하는 것입니다. 권한 경계는 IAM 엔터티(사용자 또는 역할)에 부여될 수 있는 최대 권한을 설정합니다. IAM 그룹 멤버십을 통해 더 많은 권한이 부여되더라도 권한 경계는 EC2 액세스만 허용하므로 다른 서비스에 대한 액세스는 효과적으로 차단됩니다. 오답 설명: 인라인 IAM 사용자 정책은 권한을 직접 부여하지만, 그룹 정책에 의해 재정의될 수 있으므로 다른 서비스에 대한 액세스를 방지하지 못합니다. IAM 그룹에 추가하는 것은 그룹 정책에 따라 권한이 부여되므로, 그룹 정책이 EC2 외의 다른 서비스에 대한 액세스를 허용한다면 요구 사항을 충족하지 못합니다. IAM 역할을 생성하는 것은 사용자가 역할을 수임해야 하므로 번거롭고, 역할 정책이 다른 서비스에 대한 명시적 거부를 포함하더라도 권한 경계만큼 포괄적인 제어를 제공하지 못할 수 있습니다.