Используя шаблон AWS CloudFormation, архитектор решений развертывает трехзвенное веб-приложение. Веб-уровень и уровень приложений работают на инстансах EC2, а уровень базы данных не является общедоступным. Инстансам приложения необходимо получить доступ к Amazon DynamoDB без раскрытия учетных данных API в шаблоне. Что должен сделать архитектор?

Правильный ответ — создание роли IAM с необходимыми разрешениями для DynamoDB и связывание её с инстансами приложения через профиль инстанса EC2. Это стандартный и наиболее безопасный способ предоставления временных учетных данных приложениям, работающим на EC2, без жесткого кодирования ключей доступа. Роль IAM позволяет инстансам EC2 получать временные учетные данные, которые автоматически обновляются, обеспечивая безопасность. Остальные варианты неверны: Создание роли только для чтения не позволит приложению записывать данные в DynamoDB, что может быть необходимо. Использование раздела параметров для ввода ключей доступа или создание пользователя IAM с последующей передачей ключей через user data небезопасно. Ключи доступа могут быть скомпрометированы, и их управление становится сложным. Кроме того, ключи, переданные через user data, могут быть видны в логах или метаданных инстанса.