De QA-manager lanceert momenteel applicatietestomgevingen met behulp van een CloudFormation-template in een AWS-account door een rol aan te nemen met CloudFormation-, EC2- en Auto Scaling-machtigingen. De QA-afdeling wil dat testers hun eigen kortstondige omgevingen kunnen lanceren, maar testers mogen geen brede machtigingen krijgen. Welke configuratie voldoet aan deze doelen?

De juiste optie is om AWS Service Catalog te gebruiken. Service Catalog stelt QA-gebruikers in staat om vooraf goedgekeurde producten (in dit geval CloudFormation-templates) te lanceren zonder directe toegang tot de onderliggende AWS-services. Door een launch constraint toe te voegen, kan de bestaande, bevoegdhedenrijke rol worden gebruikt voor het lanceren van de resources, terwijl de QA-gebruikers zelf alleen Service Catalog-machtigingen nodig hebben. Dit voldoet aan de eis om brede machtigingen voor testers te vermijden en toch self-service te bieden. De andere opties zijn minder geschikt: Het direct geven van CloudFormation-machtigingen aan QA-gebruikers, zelfs met voorwaarden, verhoogt het risico op onbedoelde configuraties of het overschrijden van de bedoelde scope. Elastic Beanstalk is primair voor applicatie-implementatie en niet de meest geschikte service voor het beheren van generieke testomgevingen gedefinieerd door CloudFormation. Het laten aannemen van de managerrol door QA-gebruikers, zelfs met een beperkend beleid, is minder veilig dan Service Catalog, omdat het beleid complex kan worden en foutgevoelig is.