Een security engineer gebruikt Amazon EC2 Image Builder om een AMI te maken. De pipeline is geconfigureerd om build logs naar een Amazon S3-bucket te sturen. Wanneer de pipeline draait, mislukt de build met de foutmelding: "AccessDenied: Access Denied (403)." De engineer moet het probleem oplossen volgens de best practices voor least-privilege. Welke combinatie van acties voldoet aan deze vereisten? (Kies twee.)

De foutmelding "AccessDenied: Access Denied (403)" duidt op onvoldoende permissies voor de entiteit die de S3-bucket probeert te benaderen. Aangezien de Image Builder-pipeline de build logs naar S3 stuurt, is het het EC2 instance profile dat door de pipeline wordt gebruikt dat deze permissies nodig heeft. Het koppelen van de voorgestelde managed policies aan het EC2 instance profile (EC2InstanceProfileForImageBuilder, EC2InstanceProfileForImageBuilderECRContainerBuilds en AmazonSSMManagedInstanceCore) biedt de basispermissies die nodig zijn voor Image Builder om te functioneren. Specifiek voor het schrijven van logs naar S3 is de s3:PutObject-permissie vereist voor het EC2 instance profile op de betreffende S3-bucket. Dit volgt het least-privilege principe door alleen de noodzakelijke permissies te verlenen aan de entiteit die ze nodig heeft. Het verlenen van permissies aan de IAM role van de security engineer is incorrect, omdat de engineer niet direct de logs naar S3 schrijft. De AWSImageBuilderFullAccess policy is te breed en voldoet niet aan het least-privilege principe.