Een bedrijf implementeert een reeks applicaties met verschillende AWS CloudFormation stacks. Sommige teamleden ondervinden permissiefouten bij het implementeren van stacks, terwijl anderen wel succesvol zijn. Alle teamleden nemen een rol aan die de permissies verleent die nodig zijn voor hun functie, en allen hebben permissies om op de stacks te opereren. Welke combinatie van stappen zorgt het meest veilig voor consistente stack-implementaties? (Kies drie.)

De correcte aanpak omvat het creëren van een CloudFormation servicerol met cloudformation.amazonaws.com als service principal, wat CloudFormation toestaat om deze rol aan te nemen voor stack-operaties. Vervolgens moet voor elke benodigde permissieset een afzonderlijk beleid aan deze servicerol worden gekoppeld, waarbij de specifieke resource-ARNs worden gedefinieerd die CloudFormation moet beheren. Tot slot moet elke stack worden geüpdatet om deze nieuwe servicerol te gebruiken, en moeten de IAM-rollen van teamleden een beleid krijgen dat de iam:PassRole actie toestaat voor de ARN van de servicerol. Dit zorgt ervoor dat CloudFormation consistent met de juiste permissies opereert, ongeacht de individuele teamleden, en voorkomt permissiefouten. De optie om een servicerol te maken met een samengestelde principal die elke AWS-service omvat, is te breed en onveilig. Het koppelen van beleid aan een rol dat alleen de ARN van de CloudFormation stack specificeert, is onvoldoende, omdat CloudFormation ook permissies nodig heeft voor de resources binnen de stack.