Inżynier bezpieczeństwa zastępuje szerokie, zarządzane przez AWS polityki IAM dołączone do roli IAM używanej przez skrypt uruchamiany za pomocą AWS CLI. Obecna rola ma uprawnienia AmazonEC2FullAccess, AmazonDynamoDBFullAccess i AmazonVPCFullAccess. Inżynier musi stworzyć politykę najmniejszych uprawnień w najbardziej efektywny operacyjnie sposób. Co powinien zrobić inżynier?

Poprawna odpowiedź jest najbardziej efektywna operacyjnie, ponieważ wykorzystuje IAM Access Analyzer do automatycznego generowania polityki najmniejszych uprawnień na podstawie rzeczywistego użycia. Uruchomienie skryptu z istniejącymi, szerokimi uprawnieniami gwarantuje, że wszystkie niezbędne akcje zostaną zarejestrowane w CloudTrail, co jest podstawą dla Access Analyzer. Niepoprawne opcje: Usunięcie istniejących polityk przed uruchomieniem skryptu spowodowałoby błędy autoryzacji i uniemożliwiłoby Access Analyzerowi zarejestrowanie pełnego zakresu wymaganych działań. IAM Access Analyzer Role Policy Generator nie jest samodzielnym narzędziem dołączanym do roli, lecz funkcją w Access Analyzer. Tworzenie analizatora konta i reguły archiwizacji w IAM Access Analyzer służy do identyfikacji dostępu zewnętrznego, a nie do generowania polityk najmniejszych uprawnień na podstawie wewnętrznego użycia roli. Ręczne iteracyjne dodawanie uprawnień na podstawie błędów z CloudTrail jest czasochłonne i podatne na błędy, co jest sprzeczne z wymogiem efektywności operacyjnej.