Een bedrijf heeft een Amazon Elastic File System (Amazon EFS) bestandssysteem met een referentiedataset. Applicaties op basis van EC2 moeten de dataset lezen, maar mogen deze niet wijzigen. Het bedrijf wil IAM-toegangscontrole gebruiken om te voorkomen dat de applicaties de dataset wijzigen of verwijderen. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het aanmaken van een resource policy voor het EFS-bestandssysteem dat de actie elasticfilesystem:ClientWrite weigert voor de IAM-rollen die aan de EC2-instances zijn gekoppeld. Een resource policy (ook wel EFS filesystem policy genoemd) is de juiste manier om toegangscontrole op bestandsysteem-niveau af te dwingen voor EFS, inclusief het beperken van schrijftoegang. De actie elasticfilesystem:ClientWrite dekt alle schrijfbewerkingen. Het koppelen in alleen-lezen modus is een optie, maar biedt geen centrale, afdwingbare controle via IAM. Een identity policy op de EC2-rollen zelf zou alleen de permissies van de rol beperken, niet de toegang tot de resource zelf, en is minder effectief dan een resource policy die direct op het EFS-bestandssysteem wordt toegepast. EFS access points met POSIX-rechten zijn nuttig voor het beheren van toegang voor specifieke applicaties of gebruikers, maar een resource policy is de meest directe en robuuste manier om schrijftoegang voor alle gekoppelde clients te weigeren.