Inżynier bezpieczeństwa musi uruchomić szablon AWS CloudFormation, który udostępnia infrastrukturę dla środowiska produkcyjnego ze serwerami WWW i bazą danych MySQL. Szablon został zweryfikowany w środowisku przedprodukcyjnym. Wykonanie w środowisku produkcyjnym musi być zgodne z zasadą najmniejszych uprawnień (least privilege) i utrzymywać separację obowiązków (separation of duties) między kontem IAM inżyniera a CloudFormation. Które podejście spełnia te wymagania?

Poprawna odpowiedź spełnia zasadę najmniejszych uprawnień i separacji obowiązków. IAM Access Analyzer generuje politykę z minimalnymi uprawnieniami wymaganymi przez CloudFormation do utworzenia stosu, co jest zgodne z zasadą najmniejszych uprawnień. Następnie ta polityka jest dołączana do roli IAM, którą CloudFormation przyjmuje podczas wykonywania. Inżynier otrzymuje uprawnienie PassRole, co pozwala mu przekazać tę rolę do CloudFormation, ale nie daje mu bezpośrednich uprawnień do tworzenia zasobów. To zapewnia separację obowiązków, ponieważ inżynier nie działa z uprawnieniami administratora. Pozostałe opcje są nieprawidłowe: Opcja z ec2: i rds: narusza zasadę najmniejszych uprawnień, ponieważ daje zbyt szerokie uprawnienia. Bezpośrednie uruchamianie szablonu przez inżyniera z uprawnieniami do tworzenia zasobów narusza separację obowiązków. Użycie ec2: i rds: wraz z symulatorem polityk nadal narusza zasadę najmniejszych uprawnień, a symulator nie zmienia faktu, że polityka jest zbyt szeroka.