Компания создаст кластер Amazon EMR для нескольких команд. Рабочие нагрузки каждой команды должны иметь доступ только к тем сервисам AWS, которые им необходимы. Компания также не хочет, чтобы рабочие нагрузки могли получать доступ к Instance Metadata Service Version 2 (IMDSv2) на инстансах EC2 кластера. Какое решение удовлетворяет этим требованиям?

Правильный ответ — создание EMR runtime roles. EMR runtime roles позволяют назначать различные IAM-роли для разных рабочих нагрузок, выполняемых на одном кластере EMR. Это обеспечивает детализированный контроль доступа к сервисам AWS для каждой команды и их рабочих нагрузок. Кроме того, runtime roles по умолчанию используют IMDSv2, но позволяют настроить их так, чтобы рабочие нагрузки не могли напрямую получать доступ к IMDSv2, что повышает безопасность. Неправильные варианты: Интерфейсные VPC endpoints обеспечивают приватное подключение к сервисам AWS, но не решают проблему детализированного контроля доступа для разных команд или ограничения доступа к IMDSv2. Создание профиля инстанса EC2 IAM для каждой команды непрактично, так как кластер EMR использует один профиль инстанса для всех узлов, и это не обеспечивает изоляцию разрешений между рабочими нагрузками. Параметр EnableApplicationScopedIAMRole в конфигурации безопасности EMR относится к устаревшему механизму и не обеспечивает гибкость и безопасность, предлагаемые EMR runtime roles.