Aster Retail egzekwuje SCP, które odmawia uprawnienia iam:PassRole, chyba że rola ma tag Approved=true. ECS na wielu kontach nie uruchamia zadań, ponieważ musi przekazać swoją rolę powiązaną z usługą (service-linked role), której nie można tagować. Jak zespół bezpieczeństwa powinien zmodyfikować SCP, aby zezwolić na ECS, zachowując jednocześnie zabezpieczenie?

Poprawna odpowiedź to „Zaktualizuj instrukcję Deny, aby wykluczyć żądania, w których iam:PassedToService równa się ecs-tasks.amazonaws.com dla iam:PassRole”. To rozwiązanie modyfikuje istniejące SCP, aby dodać wyjątek dla ról przekazywanych do usługi ECS (ecs-tasks.amazonaws.com) za pomocą warunku iam:PassedToService. W ten sposób SCP nadal egzekwuje tagowanie dla większości ról, ale pozwala ECS na działanie bez konieczności tagowania jego ról połączonych z usługą, które nie mogą być tagowane. Pozostałe opcje są nieprawidłowe: „Dodaj jawne zezwolenie (Allow) dla iam:PassRole na ARN roli powiązanej z usługą ECS; istniejące Deny zostanie nadpisane” jest błędne, ponieważ jawne Deny zawsze ma pierwszeństwo przed Allow, nawet jeśli Allow jest bardziej szczegółowe. „Otaguj rolę powiązaną z usługą ECS tagiem Approved=true, aby spełniała warunek SCP” jest niemożliwe, ponieważ role połączone z usługą nie mogą być tagowane. „Dołącz AdministratorAccess do roli wykonawczej zadania ECS, aby PassRole zakończyło się sukcesem” jest nieprawidłowe, ponieważ przyznanie AdministratorAccess jest nadmiernym uprawnieniem i nie rozwiązuje problemu z SCP wymagającym tagu.