Приложение в настоящее время использует слишком разрешительную роль IAM, которая предоставляет полный доступ ко всем сервисам AWS. Администратору SysOps необходимо создать политику, которая предоставляет только те разрешения, которые фактически требуются приложению. Какие шаги должен предпринять администратор для создания такой политики?

Правильный ответ — включить AWS CloudTrail, а затем использовать IAM Access Analyzer для создания политики с наименьшими привилегиями на основе записанной активности. AWS CloudTrail записывает все действия API и события, происходящие в вашей учетной записи AWS. IAM Access Analyzer может анализировать эти журналы CloudTrail для генерации политики с наименьшими привилегиями, которая включает только те действия, которые фактически использовались приложением. Неправильные варианты: AWS Security Hub не используется для создания политик IAM; он предназначен для агрегирования и анализа состояния безопасности. Amazon EventBridge (CloudWatch Events) — это бессерверный сервис маршрутизации событий, который не имеет прямого отношения к генерации политик IAM на основе активности. Команда AWS CLI get-generated-policy является частью IAM Access Analyzer, но для ее эффективного использования все равно требуется включенный CloudTrail для сбора данных об активности.