Een financiële dienstverlener bouwt een analyseoplossing op Amazon EMR voor enquêtegegevens. Drie persona's hebben gecontroleerde, least-privilege toegang nodig: Beheerder (richt EMR-clusters in), Data engineer (voert ETL uit) en Data-analist (voert SQL/Hive-query's uit). De persona's mogen alleen goedgekeurde/geautoriseerde applicaties starten en alle resources die ze maken, moeten worden getagd. Welke oplossing dwingt deze vereisten af?

AWS Service Catalog is de beste oplossing omdat het beheerders in staat stelt om goedgekeurde AWS-services te maken en te beheren, inclusief specifieke EMR-versies en clusterconfiguraties, als 'producten'. Gebruikers kunnen vervolgens alleen deze vooraf geconfigureerde producten starten, wat zorgt voor naleving van goedgekeurde applicaties en configuraties. Service Catalog ondersteunt ook het afdwingen van tags op gelanceerde resources en kan worden geïntegreerd met IAM voor gedifferentieerde toegang per persona. IAM-rollen met identity-based policies zijn essentieel voor toegangsbeheer, maar missen de mogelijkheid om het starten van specifieke applicaties en configuraties af te dwingen en tags te vereisen. Kerberos is een authenticatiemechanisme, geen oplossing voor het afdwingen van goedgekeurde applicaties of tagging. AWS CloudFormation is een infrastructuur-als-code tool; hoewel het EMR-clusters kan starten, biedt het geen ingebouwde mechanismen om gebruikers te beperken tot goedgekeurde applicaties of om tagging af te dwingen op het moment van de lancering door eindgebruikers.