Инженер по безопасности должен запустить шаблон AWS CloudFormation, который подготавливает инфраструктуру для производственного стека с веб-серверами и базой данных MySQL. Шаблон был проверен на предпроизводственной среде. Производственное выполнение должно соответствовать принципу наименьших привилегий и поддерживать разделение обязанностей между учетной записью IAM инженера и CloudFormation. Какой подход соответствует этим требованиям?

Правильный ответ соответствует принципу наименьших привилегий и разделению обязанностей. Создание роли IAM с политикой, сгенерированной IAM Access Analyzer, гарантирует, что CloudFormation имеет только необходимые разрешения для развертывания и управления стеком. Разрешение инженеру использовать PassRole для этой роли означает, что инженер не имеет прямых привилегий для создания ресурсов, а лишь делегирует их CloudFormation. Неправильные варианты: Разрешение ec2: и rds: нарушает принцип наименьших привилегий, предоставляя слишком широкие разрешения. AssumeRole для инженера не является механизмом для делегирования разрешений CloudFormation. Прямое разрешение инженеру запускать шаблон с широкими привилегиями нарушает принцип наименьших привилегий и разделение обязанностей. Хотя использование симулятора политик полезно, политика ec2: и rds: по-прежнему слишком широка.