Kierownik QA uruchamia obecnie środowiska testowe aplikacji, używając szablonu CloudFormation na koncie AWS, przyjmując rolę z uprawnieniami CloudFormation, EC2 i Auto Scaling. Dział QA chce, aby testerzy mogli uruchamiać własne, krótkotrwałe środowiska, ale testerzy nie powinni otrzymywać szerokich uprawnień. Która konfiguracja spełni te cele?

Prawidłowa odpowiedź to użycie AWS Service Catalog. Service Catalog umożliwia administratorom tworzenie i zarządzanie katalogami zatwierdzonych produktów AWS (w tym szablonów CloudFormation), które użytkownicy końcowi mogą uruchamiać. Kluczową zaletą jest to, że użytkownicy końcowi (testerzy) potrzebują jedynie uprawnień do używania Service Catalog, a nie bezpośrednich uprawnień do tworzenia zasobów CloudFormation. Ograniczenie uruchamiania (launch constraint) pozwala na określenie roli IAM, której Service Catalog użyje do uruchomienia produktu, co oznacza, że testerzy nie muszą przyjmować żadnych ról ani posiadać szerokich uprawnień. Pozostałe opcje są mniej odpowiednie: Bezpośrednie uruchamianie szablonu CloudFormation przez testerów wymagałoby nadania im szerszych uprawnień CloudFormation i IAM, co jest sprzeczne z celem ograniczenia uprawnień. Ograniczenie uprawnień CloudFormation i S3 za pomocą warunków jest złożone i trudne do utrzymania, a także nadal wymagałoby od testerów pewnych uprawnień do CloudFormation. Elastic Beanstalk jest platformą do wdrażania aplikacji, a nie narzędziem do zarządzania ogólnymi środowiskami testowymi opartymi na CloudFormation, i nie zapewnia takiego samego poziomu kontroli nad uprawnieniami jak Service Catalog w tym scenariuszu.