Zasady firmy zezwalają inżynierom na udostępnianie tylko zatwierdzonych zasobów i nakazują używanie AWS CloudFormation do tworzenia tych zasobów. Musisz wymusić to ograniczenie dla roli IAM, którą przyjmują inżynierowie. Co należy zrobić, aby wdrożyć to wymuszenie?

Prawidłowa odpowiedź zapewnia najlepsze oddzielenie uprawnień i kontrolę. Ograniczenie roli inżynierów tylko do akcji CloudFormation oznacza, że nie mogą oni bezpośrednio tworzyć ani modyfikować zasobów AWS. Zamiast tego, CloudFormation przyjmuje osobną rolę usługi, która posiada uprawnienia do tworzenia zatwierdzonych zasobów. To podejście gwarantuje, że wszystkie zasoby są tworzone za pośrednictwem CloudFormation i tylko te, które są dozwolone przez politykę roli usługi. Pierwsza opcja jest niekompletna, ponieważ nie wymusza użycia zatwierdzonych szablonów, a jedynie wymaga dostępu do S3 i CloudFormation. Druga opcja pozwala inżynierom na bezpośrednie tworzenie zasobów, co narusza zasadę wymuszania CloudFormation. Czwarta opcja nie rozwiązuje problemu tworzenia niezatwierdzonych zasobów, a jedynie ogranicza dostęp do własnych stosów.