Een solutions architect moet een databasenaam en -wachtwoord veilig opslaan in AWS Systems Manager Parameter Store voor een applicatie die draait op een Amazon EC2-instance. Wat moet de solutions architect doen om een veilige parameter te maken en de EC2-instance toegang te geven?

De juiste aanpak is om een IAM-rol te maken met de benodigde machtigingen en deze aan de EC2-instance te koppelen. Deze IAM-rol moet leestoegang hebben tot de Parameter Store-parameter en, cruciaal, kms:Decrypt-toegang tot de AWS KMS-sleutel die wordt gebruikt om de parameter te versleutelen. Wanneer de EC2-instance de parameter probeert op te halen, neemt deze de rol aan en krijgt zo de benodigde rechten om de versleutelde waarde te decoderen en te lezen. Het toewijzen van een IAM-beleid direct aan een EC2-instance is niet de standaard of veilige methode; IAM-rollen worden gebruikt voor dit doel. Het creëren van een IAM trust relationship tussen de Parameter Store-parameter of de DB-instance en de EC2-instance met Amazon RDS of Systems Manager als principal is conceptueel onjuist; trust relationships definiëren wie een rol mag aannemen, niet hoe resources direct met elkaar communiceren voor autorisatie.