Компания использует файловую систему Amazon Elastic File System (Amazon EFS), содержащую эталонный набор данных. Приложения на базе EC2 должны считывать этот набор данных, но не должны его изменять. Компания хочет использовать контроль доступа IAM, чтобы предотвратить изменение или удаление набора данных приложениями. Какое решение соответствует этим требованиям?

Правильный ответ — создание политики ресурсов для файловой системы EFS, которая запрещает действие elasticfilesystem:ClientWrite для ролей IAM, прикрепленных к экземплярам EC2. Политики ресурсов (Resource Policies) EFS позволяют управлять доступом к файловой системе на уровне EFS, определяя, какие принципалы IAM могут выполнять определенные действия. Запрет действия elasticfilesystem:ClientWrite эффективно предотвратит любые операции записи или удаления со стороны приложений, использующих роли IAM, к которым применяется эта политика. Монтирование файловой системы EFS в режиме только для чтения из экземпляров EC2 (read-only mount) не является решением на основе IAM и может быть легко обойдено или изменено. Создание политики идентификации (Identity Policy) для файловой системы EFS неверно, так как политики идентификации прикрепляются к пользователям или ролям, а не к ресурсам EFS. Создание точки доступа EFS с разрешениями POSIX только для чтения может обеспечить контроль, но политика ресурсов EFS является более централизованным и явным способом управления доступом на уровне файловой системы для всех приложений, использующих определенные роли IAM.