Inżynier DevOps musi umożliwić programistom wdrażanie stosów CloudFormation, mimo że rola IAM programisty nie ma uprawnień do tworzenia zasobów zdefiniowanych w szablonach. Rozwiązanie musi być zgodne z zasadą najmniejszych uprawnień. Które podejście spełnia ten wymóg?

Prawidłowa odpowiedź to utworzenie roli usługi AWS CloudFormation z wymaganymi uprawnieniami i przyznanie roli IAM programisty uprawnienia iam:PassRole. Dzięki temu programiści mogą przekazać rolę usługi CloudFormation, która ma uprawnienia do tworzenia zasobów, bez posiadania tych uprawnień bezpośrednio. Jest to zgodne z zasadą najmniejszych uprawnień, ponieważ programiści nie mają bezpośredniego dostępu do tworzenia zasobów. Pozostałe opcje są nieprawidłowe: Tworzenie polityki IAM zezwalającej programistom na udostępnianie wymaganych zasobów narusza zasadę najmniejszych uprawnień, ponieważ daje im bezpośrednie uprawnienia do tworzenia zasobów. Tworzenie polityki IAM zezwalającej na pełny dostęp do AWS CloudFormation jest zbyt szerokie i narusza zasadę najmniejszych uprawnień. Przyznanie roli IAM programisty akcji cloudformation: jest zbyt szerokie i nie rozwiązuje problemu braku uprawnień do tworzenia zasobów przez samą rolę programisty.