Firma utworzy klaster Amazon EMR dla wielu zespołów. Obciążenia każdego zespołu powinny mieć dostęp tylko do tych usług AWS, których potrzebują. Firma nie chce również, aby obciążenia miały dostęp do Instance Metadata Service Version 2 (IMDSv2) na instancjach EC2 klastra. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to „Utwórz role środowiska wykonawczego EMR. Skonfiguruj klaster tak, aby używał ról środowiska wykonawczego. Użyj ról środowiska wykonawczego do przesyłania obciążeń big data.” Role środowiska wykonawczego EMR (EMR Runtime Roles) pozwalają na przypisywanie różnych ról IAM do poszczególnych zadań lub użytkowników w ramach jednego klastra EMR, co zapewnia szczegółową kontrolę dostępu (least privilege) do usług AWS dla każdego zespołu. Dodatkowo, użycie ról środowiska wykonawczego EMR automatycznie konfiguruje IMDSv2 z wymuszonymi tokenami, co zapobiega dostępowi do IMDSv1 i zwiększa bezpieczeństwo. Pozostałe opcje są nieprawidłowe: Interfejsowe punkty końcowe VPC kontrolują ruch sieciowy do usług AWS, ale nie zapewniają szczegółowej kontroli uprawnień IAM dla poszczególnych obciążeń w klastrze EMR. Profil instancji EC2 IAM jest przypisywany do całej instancji EC2, co oznacza, że wszystkie obciążenia na tej instancji miałyby te same uprawnienia, co narusza zasadę najmniejszych uprawnień dla wielu zespołów. Konfiguracja bezpieczeństwa EMR z EnableApplicationScopedIAMRole ustawionym na false uniemożliwia użycie ról środowiska wykonawczego, co jest sprzeczne z wymaganiem szczegółowej kontroli dostępu.