Deweloperzy przyjmują rolę wdrożeniową AWS CDK, aby wdrożyć infrastrukturę, która obejmuje funkcje Lambda i ich role IAM. Przegląd bezpieczeństwa wykazał, że deweloperzy i rola wdrożeniowa CDK mają nadmierne uprawnienia, a role Lambda utworzone przez CDK są zbyt liberalne. Deweloperzy nie mogą mieć możliwości przyznawania dodatkowych uprawnień. Które podejście spełnia wymagania przy najmniejszym narzucie operacyjnym?

Poprawna odpowiedź minimalizuje narzut operacyjny, ponieważ granice uprawnień IAM (permissions boundaries) automatycznie ograniczają maksymalne uprawnienia wszystkich ról tworzonych przez AWS CDK. Aktualizacja procesu bootstrapingu konta CDK i konfiguracja domyślnej granicy uprawnień dla aplikacji CDK sprawia, że deweloperzy nie muszą ręcznie odwoływać się do tej polityki, a ich role Lambda nie mogą przekroczyć zdefiniowanych uprawnień. Pozostałe opcje są mniej efektywne: Tworzenie SCP odmawiających uprawnień iam:CreateRole i iam:UpdateRole oraz centralne tworzenie ról IAM zwiększa narzut operacyjny i spowalnia procesy deweloperskie. Instrukcja dla deweloperów, aby ręcznie odwoływali się do granicy uprawnień, wprowadza ryzyko błędu ludzkiego i wymaga dodatkowej dyscypliny. Odmawianie uprawnień iam:CreateRole i iam:UpdateRole tylko dla roli dewelopera, przy jednoczesnym zezwoleniu roli wdrożeniowej CDK na tworzenie ról, nie rozwiązuje problemu nadmiernych uprawnień ról Lambda, a uruchomienie IAM Access Analyzer jest narzędziem do weryfikacji, a nie mechanizmem kontroli.