Een security engineer moet een AWS CloudFormation template uitvoeren dat infrastructuur provisioneert voor een productiestack met webservers en een MySQL database. Het template is gevalideerd in pre-productie. De productie-uitvoering moet het least privilege-principe volgen en scheiding van taken (separation of duties) handhaven tussen het IAM-account van de engineer en CloudFormation. Welke aanpak voldoet aan deze vereisten?

De correcte aanpak is het gebruik van IAM Access Analyzer policy generation om een policy te maken, deze te koppelen aan een nieuwe IAM role, en de engineer permissies te geven om deze role door te geven (PassRole) aan CloudFormation. Dit voldoet aan least privilege en scheiding van taken. De gegenereerde policy is specifiek voor de benodigde acties van het CloudFormation template, wat overprovisioning voorkomt. De engineer heeft geen directe permissies om de infrastructuur te creëren, maar vertrouwt op CloudFormation met de specifieke role. De andere opties zijn minder veilig of onjuist: Het creëren van een policy met ec2: en rds: is te breed en schendt het least privilege-principe. De engineer direct permissies geven om het template uit te voeren, schendt het principe van scheiding van taken, omdat de engineer dan directe controle heeft over de resources. Het gebruik van de IAM policy simulator is nuttig, maar het initieel aanmaken van een brede policy met ec2: en rds: is nog steeds een overtreding van least privilege.