Met behulp van een AWS CloudFormation-template implementeert een solutions architect een drielaagse webapplicatie. De web- en applicatielagen draaien op EC2-instances en de databaselaag is niet openbaar toegankelijk. De applicatie-instances moeten toegang krijgen tot Amazon DynamoDB zonder API-credentials in de template bloot te stellen. Wat moet de architect doen?

De correcte optie is het aanmaken van een IAM-rol met de benodigde machtigingen en deze te koppelen aan de applicatie-instances via een instance profile. Dit is de aanbevolen en veiligste methode om EC2-instances toegang te geven tot AWS-services zoals DynamoDB, zonder API-credentials direct in de template te plaatsen of op de instances op te slaan. Het instance profile fungeert als een container voor de IAM-rol, waardoor de instances tijdelijke credentials kunnen aannemen. De eerste optie is onvolledig omdat het alleen spreekt over lezen en niet over schrijven, wat de vraag wel impliceert. De derde optie is onveilig omdat het API-credentials blootstelt via parameters, wat een beveiligingsrisico vormt. De vierde optie is eveneens onveilig en onpraktisch, aangezien het aanmaken van IAM-gebruikers en het doorgeven van hun toegangssleutels via user data niet de best practice is voor het verlenen van toegang aan EC2-instances.