Een DevOps-engineer moet ontwikkelaars in staat stellen CloudFormation stacks te deployen, zelfs als de IAM-rol van de ontwikkelaar geen permissies heeft om de resources te creëren die in de templates zijn gedefinieerd. De oplossing moet het least privilege-principe volgen. Welke aanpak voldoet hieraan?

De juiste aanpak is om een CloudFormation servicerol te creëren met de benodigde permissies voor het provisioneren van resources. Ontwikkelaars hebben dan alleen de iam:PassRole permissie nodig om deze servicerol door te geven aan CloudFormation. Dit volgt het least privilege-principe omdat de ontwikkelaars zelf geen directe permissies hebben om resources te creëren; ze mogen alleen CloudFormation instrueren om dit te doen met een vooraf gedefinieerde, beperkte rol. Optie 1 is onjuist omdat het de ontwikkelaars directe permissies geeft om resources te creëren, wat in strijd is met least privilege. Optie 2 is onjuist omdat het ontwikkelaars volledige toegang geeft tot CloudFormation, wat veel te breed is en een beveiligingsrisico vormt. Optie 3 is onjuist omdat het de ontwikkelaars nog steeds een brede cloudformation: actie geeft, wat niet voldoet aan least privilege.