Bir güvenlik mühendisi, bir yüklenicinin IAM kullanıcısını yalnızca Amazon EC2 konsol erişimiyle kısıtlamalı ve IAM grup üyeliği aracılığıyla ek izinler verilse bile diğer tüm AWS hizmetlerine erişimi engellemelidir. Güvenlik mühendisi bu gereksinimleri karşılamak için ne yapmalıdır?

İzin sınırları (permissions boundaries), bir IAM kimliğine (kullanıcı veya rol) atanabilecek maksimum izinleri belirler. Bu senaryoda, yüklenicinin IAM kullanıcısına yalnızca Amazon EC2 erişimine izin veren bir izin sınırı eklemek, kullanıcının grup üyelikleri veya doğrudan eklenen politikalar aracılığıyla daha geniş izinler almasını engeller. Bu, belirtilen kısıtlamayı en etkili şekilde sağlar. Diğer seçenekler neden uygun değil: Satır içi IAM kullanıcı politikası: Bu politika sadece EC2 erişimine izin verse bile, kullanıcı başka bir grubun üyesi ise veya başka bir politika atanmışsa, o politikaların izinlerini de alabilir. IAM grubuna ekleme: Grup politikaları, izin sınırları tarafından geçersiz kılınabilir. Eğer grup politikası EC2'den fazlasına izin veriyorsa, bu gereksinimi karşılamaz. IAM rolü oluşturma: Kullanıcının her zaman bu rolü üstlenmesini sağlamak operasyonel bir zorluktur ve kullanıcının kendi kimliğiyle başka hizmetlere erişmesini engellemez.