Een ontwikkelaar bouwt een batchapplicatie die zal draaien op een Amazon EC2-instance en heeft leestoegang nodig tot een Amazon S3-bucket. Hoe moet de ontwikkelaar, om de best practices op het gebied van beveiliging te volgen, S3-leestoegang verlenen aan de applicatie die op de EC2-instance draait?

Het correcte antwoord is om een IAM policy te maken met de vereiste permissies, deze policy te koppelen aan een IAM role, en de role toe te wijzen aan het EC2 instance profile. Dit is de aanbevolen en veiligste methode in AWS voor het verlenen van permissies aan applicaties die op EC2-instances draaien. De applicatie erft dan tijdelijke referenties van de role, waardoor er geen hardcoded credentials op de instance nodig zijn. De andere opties zijn minder veilig of niet correct: Het toevoegen van permissies aan een IAM group en deze koppelen aan het EC2 instance profile is geen standaardmethode; instance profiles werken met roles, niet direct met groups. Het koppelen van een IAM user aan een EC2 instance profile is onveilig, omdat dit permanente credentials van de user zou vereisen op de instance, wat een beveiligingsrisico vormt. IAM web identity federation is bedoeld voor externe identiteiten (zoals sociale media logins) en niet voor het verlenen van permissies aan EC2-instances.