Een applicatie die draait op een Amazon EC2-instance moet bestanden veilig uploaden naar een Amazon S3-bucket. Wat is de MEEST veilige manier om de applicatie de vereiste permissies te verlenen?

Het aanmaken van een IAM-rol en deze koppelen aan de EC2-instance is de meest veilige en aanbevolen methode. De applicatie kan dan tijdelijke referenties ophalen via de EC2-metadata service, waardoor er geen permanente toegangssleutels op de instance hoeven te worden opgeslagen. Dit vermindert het risico op diefstal van credentials. De opties om toegangssleutels van een IAM-gebruiker of -rol op te slaan in omgevingsvariabelen zijn minder veilig, omdat deze sleutels dan statisch op de instance aanwezig zijn en een beveiligingsrisico vormen bij compromittering van de instance. Een S3 bucket policy die toegang verleent op basis van het EC2 instance ID is niet voldoende, omdat de applicatie nog steeds geautoriseerd moet worden om namens de instance te handelen. IAM-rollen bieden een robuuster autorisatiemechanisme voor applicaties die op EC2 draaien.