Een bedrijf gaat een Amazon EMR-cluster maken voor meerdere teams. De workloads van elk team mogen alleen toegang hebben tot de AWS-services die ze nodig hebben. Het bedrijf wil ook niet dat workloads toegang hebben tot de Instance Metadata Service Version 2 (IMDSv2) op de EC2-instances van het cluster. Welke oplossing voldoet aan deze vereisten?

EMR runtime roles bieden de meest granulaire controle over toegang tot AWS-services voor individuele workloads binnen een EMR-cluster. Door runtime roles te gebruiken, kan elk team een specifieke IAM-rol krijgen met alleen de benodigde permissies, waardoor het least privilege-principe wordt toegepast. Bovendien ondersteunen EMR runtime roles het afdwingen van IMDSv2, wat de beveiliging van de EC2-instances verhoogt door onbevoegde toegang tot metadata te voorkomen. Interface VPC endpoints zijn nuttig voor het privé verbinden met AWS-services, maar ze beheren niet de toegangspermissies voor workloads binnen het cluster. Een EC2 IAM instance profile is een rol die aan de EC2-instances zelf wordt gekoppeld en biedt permissies voor de hele instance, niet voor individuele workloads. Dit voldoet niet aan de vereiste van team-specifieke toegang. Een EMR security configuration met EnableApplicationScopedIAMRole op false zou juist de mogelijkheid uitschakelen om applicatie-specifieke IAM-rollen te gebruiken, wat in strijd is met de vereisten.