Менеджер по контролю качества (QA) в настоящее время запускает тестовые среды приложений с помощью шаблона CloudFormation в учетной записи AWS, принимая роль с разрешениями CloudFormation, EC2 и Auto Scaling. Отдел контроля качества хочет, чтобы тестировщики могли запускать свои собственные кратковременные среды, но тестировщики не должны получать широкие разрешения. Какая настройка позволит достичь этих целей?

AWS Service Catalog позволяет администраторам создавать каталоги одобренных продуктов AWS, которые пользователи могут запускать с ограниченными разрешениями. Создание продукта Service Catalog из шаблона CloudFormation позволяет QA-тестировщикам запускать среды, не имея прямых разрешений на CloudFormation или другие сервисы. Ограничение запуска гарантирует, что продукт всегда запускается с предварительно определенной ролью, предотвращая эскалацию привилегий. Пользователям QA достаточно предоставить разрешения только на использование Service Catalog, что соответствует требованию о минимальных привилегиях. Остальные варианты не подходят: Предоставление пользователям QA разрешений на CloudFormation или S3 с условиями все равно дает им более широкие разрешения, чем необходимо, и усложняет управление. Elastic Beanstalk предназначен для развертывания приложений, а не для управления произвольными тестовыми средами CloudFormation, и не обеспечивает такой же детальный контроль над разрешениями запуска, как Service Catalog.