Bir güvenlik mühendisi, AWS CLI ile çalışan bir komut dosyası tarafından kullanılan bir IAM rolüne eklenmiş geniş AWS tarafından yönetilen IAM politikalarını değiştiriyor. Mevcut rol AmazonEC2FullAccess, AmazonDynamoDBFullAccess ve AmazonVPCFullAccess'e sahip. Mühendis, en operasyonel olarak verimli şekilde en az ayrıcalıklı bir politika oluşturmalıdır. Mühendis ne yapmalı?

En operasyonel olarak verimli ve en az ayrıcalıklı politikayı oluşturmak için CloudTrail yönetim olaylarını etkinleştirmek ve komut dosyasını mevcut geniş izinlerle çalıştırmak en iyi yaklaşımdır. Bu, komut dosyasının gerçekte hangi eylemleri gerçekleştirdiğini CloudTrail günlüklerine kaydeder. Daha sonra, IAM Access Analyzer'ın politika oluşturma özelliğini kullanarak bu CloudTrail günlüklerindeki erişim etkinliğine dayalı olarak en az ayrıcalıklı bir politika oluşturulabilir. Bu yöntem, manuel deneme yanılma yerine otomatik ve doğru bir politika oluşturma süreci sağlar. Diğer seçenekler ya daha fazla manuel çaba gerektirir (CloudTrail hatalarını manuel olarak analiz etme), ya da IAM Access Analyzer'ın temel kullanım amacına uygun değildir (Access Analyzer Role Policy Generator diye bir özellik yoktur, Access Analyzer mevcut politikaları analiz eder, oluşturmaz).