Firma posiada system plików Amazon Elastic File System (Amazon EFS) zawierający referencyjny zestaw danych. Aplikacje oparte na EC2 muszą odczytywać ten zestaw danych, ale nie mogą go modyfikować. Firma chce użyć kontroli dostępu IAM, aby uniemożliwić aplikacjom modyfikowanie lub usuwanie zestawu danych. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to utworzenie polityki zasobów EFS, która jawnie odmawia akcji elasticfilesystem:ClientWrite dla ról IAM przypisanych do instancji EC2. Polityki zasobów (Resource Policies) są najlepszym sposobem na kontrolowanie dostępu do zasobów EFS na poziomie systemu plików, umożliwiając precyzyjne określenie, kto może wykonywać jakie operacje. Jawna odmowa (explicit deny) zawsze nadpisuje zezwolenia, zapewniając, że aplikacje nie będą mogły modyfikować danych. Montowanie systemu plików EFS w trybie tylko do odczytu z poziomu instancji EC2 (opcja 1) jest rozwiązaniem na poziomie klienta i może zostać obejrzane lub zmienione przez administratora instancji, nie zapewniając trwałej kontroli dostępu. Polityka tożsamości (Identity Policy) (opcja 3) jest przypisywana do użytkownika lub roli IAM, a nie do zasobu EFS, co utrudnia centralne zarządzanie dostępem do konkretnego systemu plików. Punkty dostępu EFS (opcja 4) są przeznaczone do egzekwowania uprawnień POSIX dla konkretnych aplikacji i nie zapewniają kontroli dostępu na poziomie IAM dla operacji zapisu na całym systemie plików.