Een applicatie die op een EC2-instance draait, moet API's aanroepen om toegang te krijgen tot objecten in een S3-bucket. Welke combinatie van stappen biedt de meest veilige configuratie? (Kies twee.)

De meest veilige methode om een EC2-instance toegang te geven tot S3 is door een IAM-rol te gebruiken. Een IAM-rol definieert de permissies die de applicatie nodig heeft, zonder dat er permanente credentials op de instance hoeven te worden opgeslagen. Het aanmaken van een IAM-rol met de benodigde S3-rechten is de eerste stap. Vervolgens wordt deze IAM-rol gekoppeld aan een instance profile, dat op zijn beurt aan de EC2-instance wordt toegewezen. Dit zorgt ervoor dat de instance tijdelijke, automatisch geroteerde credentials ontvangt, wat de veiligheid aanzienlijk verhoogt. Het aanmaken van een IAM-gebruiker en deze toevoegen aan een groep is minder veilig, omdat dit vaak gepaard gaat met het opslaan van statische credentials. Het opslaan van IAM-gebruikersreferenties als omgevingsvariabelen is ook onveilig, omdat deze gemakkelijk kunnen worden gecompromitteerd. Een IAM-rol toewijzen aan een IAM-groep is geen geldige configuratie; rollen worden aan entiteiten (zoals instances) gekoppeld, niet aan groepen.