한 회사에 참조 데이터셋이 포함된 Amazon Elastic File System(Amazon EFS) 파일 시스템이 있습니다. EC2 기반 애플리케이션은 데이터셋을 읽어야 하지만 수정해서는 안 됩니다. 회사는 애플리케이션이 데이터셋을 수정하거나 삭제하지 못하도록 IAM 액세스 제어를 사용하려고 합니다. 다음 중 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

정답은 IAM 리소스 정책을 사용하는 것입니다. EFS 파일 시스템에 연결된 IAM 리소스 정책은 특정 IAM 역할(EC2 인스턴스에 연결된 역할)이 elasticfilesystem:ClientWrite 작업을 수행하는 것을 명시적으로 거부하여 데이터 수정 및 삭제를 방지합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. EFS를 읽기 전용으로 마운트하는 것은 인스턴스 수준의 제어이므로, 인스턴스 구성 오류나 악의적인 사용자에 의해 쉽게 우회될 수 있습니다. EFS 파일 시스템에 대한 자격 증명 정책은 EFS 파일 시스템이 아닌 IAM 사용자 또는 역할에 직접 연결되므로, EFS 리소스에 대한 접근 제어에는 리소스 정책이 더 적합합니다. EFS 액세스 포인트와 POSIX 권한은 파일 시스템 내의 특정 경로에 대한 세분화된 접근 제어를 제공하지만, IAM 정책만큼 강력하고 중앙 집중적인 제어 메커니즘은 아닙니다.