Firma świadcząca usługi finansowe buduje rozwiązanie analityczne na Amazon EMR dla danych z ankiet. Trzy grupy użytkowników potrzebują kontrolowanego dostępu z najniższymi uprawnieniami: Administrator (udostępnia klastry EMR), Inżynier danych (uruchamia ETL) i Analityk danych (uruchamia zapytania SQL/Hive). Użytkownicy powinni mieć możliwość uruchamiania tylko zatwierdzonych/autoryzowanych aplikacji, a wszystkie tworzone przez nich zasoby muszą być tagowane. Które rozwiązanie wymusza te wymagania?

AWS Service Catalog to najlepsze rozwiązanie, ponieważ pozwala administratorowi tworzyć i zarządzać katalogami zatwierdzonych produktów (w tym przypadku klastrów EMR z predefiniowanymi konfiguracjami i aplikacjami). Użytkownicy mogą następnie uruchamiać te produkty, co zapewnia, że korzystają tylko z zatwierdzonych wersji i konfiguracji. Service Catalog umożliwia również przypisywanie ról IAM do produktów, wymuszając zasadę najniższych uprawnień i automatyczne tagowanie zasobów. Pozostałe opcje są mniej skuteczne: Role IAM z politykami opartymi na tożsamościach pomogą w kontroli dostępu, ale nie zapewnią mechanizmu do wymuszania użycia tylko zatwierdzonych aplikacji EMR ani automatycznego tagowania zasobów. Reguły AWS Config wykryją niezgodności, ale nie zapobiegną ich powstawaniu. Uwierzytelnianie Kerberos zapewnia silne uwierzytelnianie, ale nie kontroluje, które aplikacje EMR mogą być uruchamiane ani nie wymusza tagowania zasobów. AWS CloudFormation do uruchamiania klastrów EMR wraz z politykami opartymi na zasobach i regułami AWS Config jest dobrym rozwiązaniem do automatyzacji i monitorowania, ale nie zapewnia tak precyzyjnej kontroli nad wyborem zatwierdzonych aplikacji i konfiguracji przez użytkowników końcowych, jak Service Catalog.