Inżynier bezpieczeństwa musi ograniczyć dostęp użytkownika IAM wykonawcy tylko do konsoli Amazon EC2 i zapobiec dostępowi do wszystkich innych usług AWS, nawet jeśli dodatkowe uprawnienia zostaną przyznane poprzez członkostwo w grupie IAM. Co powinien zrobić inżynier bezpieczeństwa, aby spełnić te wymagania?

Poprawna odpowiedź to utworzenie polityki permissions boundary IAM, która zezwala tylko na dostęp do Amazon EC2, i dołączenie jej do użytkownika IAM wykonawcy. Permissions boundary definiuje maksymalny zakres uprawnień, jakie użytkownik lub rola może posiadać. Oznacza to, że nawet jeśli użytkownik jest członkiem grupy IAM z szerszymi uprawnieniami, permissions boundary ograniczy jego efektywne uprawnienia wyłącznie do tych dozwolonych przez boundary. Pozostałe opcje są nieprawidłowe: Dołączenie wbudowanej polityki do użytkownika IAM zezwala na dostęp do EC2, ale nie zapobiega szerszym uprawnieniom z grup. Dodanie użytkownika do grupy IAM z polityką zezwalającą na dostęp do EC2 również nie zapobiega dziedziczeniu szerszych uprawnień z innych grup. Tworzenie roli IAM i instruowanie wykonawcy, aby ją przyjmował, jest obejściem, które nie gwarantuje ograniczenia dostępu, jeśli użytkownik ma inne uprawnienia do innych usług.