Architekt rozwiązań wdraża trójwarstwową aplikację internetową za pomocą szablonu AWS CloudFormation. Warstwy internetowa i aplikacyjna działają na instancjach EC2, a warstwa bazy danych nie jest publicznie dostępna. Instancje aplikacji muszą mieć dostęp do Amazon DynamoDB bez ujawniania poświadczeń API w szablonie. Co powinien zrobić architekt?

Poprawna odpowiedź to utworzenie roli IAM z odpowiednimi uprawnieniami do DynamoDB, a następnie dołączenie jej do profilu instancji EC2, który jest powiązany z instancjami aplikacji. Jest to zalecana i bezpieczna metoda nadawania uprawnień instancjom EC2, ponieważ eliminuje potrzebę przechowywania poświadczeń API bezpośrednio na instancjach lub w szablonie CloudFormation. AWS zarządza rotacją tymczasowych poświadczeń dla roli. Pozostałe opcje są nieprawidłowe: Utworzenie roli IAM tylko do odczytu jest niewystarczające, ponieważ instancje aplikacji potrzebują uprawnień do odczytu i zapisu. Użycie sekcji parametrów do wprowadzania kluczy dostępu i tajnych kluczy jest niebezpieczne, ponieważ ujawnia poświadczenia i narusza zasadę najmniejszych uprawnień. Tworzenie użytkownika IAM w szablonie CloudFormation i przekazywanie kluczy dostępu przez dane użytkownika jest również niebezpieczne i niezalecane, ponieważ klucze są widoczne i trudne do zarządzania.