Inżynier bezpieczeństwa używa Amazon EC2 Image Builder do tworzenia AMI. Potok jest skonfigurowany tak, aby dostarczać dzienniki kompilacji do zasobnika Amazon S3. Gdy potok jest uruchamiany, kompilacja kończy się niepowodzeniem z błędem: „AccessDenied: Access Denied (403)”. Inżynier musi naprawić problem, postępując zgodnie z najlepszymi praktykami dotyczącymi zasady najmniejszych uprawnień. Która kombinacja działań spełni te wymagania? (Wybierz dwie.)

Błąd "Access Denied (403)" wskazuje na problem z uprawnieniami. Potok EC2 Image Builder działa na instancji EC2, która wymaga odpowiednich uprawnień do wykonywania swoich zadań. Pierwsze poprawne działanie to dołączenie wymaganych polityk do profilu instancji EC2 używanego przez potok. Polityki EC2InstanceProfileForImageBuilder, EC2InstanceProfileForImageBuilderECRContainerBuilds i AmazonSSMManagedInstanceCore zapewniają podstawowe uprawnienia niezbędne do działania Image Buildera i zarządzania instancją. Dołączenie ich do roli IAM inżyniera bezpieczeństwa (pierwsza opcja) jest błędne, ponieważ to instancja, a nie inżynier, potrzebuje tych uprawnień do wykonania kompilacji. Drugie poprawne działanie to przyznanie profilowi instancji EC2 uprawnienia s3:PutObject w docelowym zasobniku S3. Błąd wskazuje, że kompilacja nie może zapisać dzienników do S3, co wymaga tego konkretnego uprawnienia. Przyznanie tego uprawnienia roli IAM inżyniera bezpieczeństwa (czwarta opcja) jest błędne, ponieważ to instancja EC2, na której działa Image Builder, próbuje zapisać dzienniki, a nie inżynier. Dołączenie polityki AWSImageBuilderFullAccess (trzecia opcja) jest zbyt szerokie i nie jest zgodne z zasadą najmniejszych uprawnień.