Инженер DevOps должен разрешить разработчикам развертывать стеки CloudFormation, даже если роль IAM разработчика не имеет разрешений на создание ресурсов, определенных в шаблонах. Решение должно соответствовать принципу наименьших привилегий. Какой подход удовлетворяет этому требованию?

Правильный ответ — создание сервисной роли CloudFormation с необходимыми разрешениями и предоставление разработчикам разрешения iam:PassRole. Это позволяет разработчикам передавать эту сервисную роль CloudFormation, которая затем использует свои разрешения для создания ресурсов, не требуя от роли разработчика прямых разрешений на создание ресурсов. Это соответствует принципу наименьших привилегий, так как разработчики не получают прямых разрешений на создание ресурсов. Неправильные варианты: Предоставление разработчикам политики IAM с разрешениями на создание ресурсов нарушает принцип наименьших привилегий, давая им прямые разрешения. Предоставление полного доступа к AWS CloudFormation также нарушает принцип наименьших привилегий, давая слишком широкие разрешения. Предоставление cloudformation: разработчикам не позволяет CloudFormation использовать отдельную сервисную роль для создания ресурсов, а просто дает разработчикам широкие разрешения на CloudFormation, что не решает проблему отсутствия разрешений на создание ресурсов.