Инженер по безопасности должен ограничить доступ пользователя IAM подрядчика только консолью Amazon EC2 и предотвратить доступ ко всем другим сервисам AWS, даже если дополнительные разрешения предоставлены через членство в группе IAM. Что должен сделать инженер по безопасности для выполнения этих требований?

Политики границ разрешений IAM определяют максимальные разрешения, которые может иметь сущность IAM (пользователь или роль). Даже если к пользователю или группе прикреплены другие политики, предоставляющие более широкие разрешения, граница разрешений будет ограничивать эффективные разрешения только теми, которые разрешены как политикой разрешений, так и границей разрешений. В данном случае, прикрепление границы разрешений, разрешающей только Amazon EC2, к пользователю IAM подрядчика гарантирует, что он не сможет получить доступ к другим сервисам AWS, даже если он является членом группы IAM с более широкими разрешениями. Прикрепление встроенной политики пользователя IAM или добавление пользователя в группу IAM с политикой, разрешающей доступ к Amazon EC2, не предотвратит доступ к другим сервисам, если пользователь также является членом группы с более широкими разрешениями. Создание роли IAM и поручение подрядчику принимать ее не гарантирует, что подрядчик не будет использовать свои прямые учетные данные для доступа к другим сервисам.