Een security engineer vervangt brede AWS managed IAM policies die zijn gekoppeld aan een IAM-rol die wordt gebruikt door een script dat wordt uitgevoerd met de AWS CLI. De huidige rol heeft AmazonEC2FullAccess, AmazonDynamoDBFullAccess en AmazonVPCFullAccess. De engineer moet een least privilege policy creëren op de meest operationeel efficiënte manier. Wat moet de engineer doen?

De correcte optie beschrijft de meest operationeel efficiënte methode voor het implementeren van least privilege. Door CloudTrail management events in te schakelen en het script met de bestaande, brede policies uit te voeren, worden alle benodigde API-aanroepen vastgelegd. IAM Access Analyzer kan deze logboeken vervolgens analyseren om een nauwkeurige, least privilege policy te genereren. Dit minimaliseert handmatige inspanning en het risico op fouten. De eerste incorrecte optie is onjuist omdat IAM Access Analyzer geen "Role Policy Generator" heeft die direct aan een rol gekoppeld kan worden om live policies te genereren. De tweede incorrecte optie is onjuist omdat het aanmaken van een account analyzer en een archiefregel niet direct leidt tot het genereren van een least privilege policy op basis van scriptactiviteit. De derde incorrecte optie is inefficiënt en foutgevoelig. Het iteratief toevoegen van acties en resources op basis van CloudTrail-fouten is een handmatig en tijdrovend proces dat gemakkelijk tot over- of onderprivileges kan leiden.