Bir güvenlik mühendisi, web sunucuları ve bir MySQL veritabanı içeren bir üretim yığını için altyapı sağlayan bir AWS CloudFormation şablonunu çalıştırmalıdır. Şablon, üretim öncesi ortamda doğrulanmıştır. Üretim yürütmesi en az ayrıcalık ilkesini takip etmeli ve mühendisin IAM hesabı ile CloudFormation arasında görev ayrılığını sürdürmelidir. Hangi yaklaşım bu gereksinimleri karşılar?

Doğru cevap, en az ayrıcalık ve görev ayrılığı prensiplerini karşılar. CloudFormation'a bir hizmet rolü atayarak, CloudFormation yığını dağıtmak ve yönetmek için gerekli izinlere sahip olurken, mühendisin doğrudan bu kaynakları oluşturma veya değiştirme yetkisi olmaz. IAM Access Analyzer policy generation, şablonun ihtiyaç duyduğu minimum izinleri belirlemeye yardımcı olur. Mühendisin PassRole iznine sahip olması, CloudFormation'ın bu rolü üstlenmesine olanak tanır. Diğer seçenekler neden yanlış: ec2: ve rds: izinlerini veren bir IAM ilkesi oluşturmak, en az ayrıcalık prensibini ihlal eder çünkü bu, CloudFormation'ın ihtiyaç duyduğundan daha geniş izinler verir. Ayrıca, mühendisin AssumeRole'a izin vermesi, CloudFormation'a PassRole'a izin vermekten farklı bir senaryodur ve görev ayrılığını tam olarak sağlamaz. Mühendisin izinlerini şablonu doğrudan çalıştırabilmesi için güncellemek, görev ayrılığını tamamen ortadan kaldırır ve mühendise üretim kaynakları üzerinde doğrudan yetki verir. IAM policy simulator kullanmak iyi bir uygulama olsa da, ec2: ve rds: gibi geniş izinler yine en az ayrıcalık prensibini ihlal eder. Ayrıca, PassRole izni doğru olsa da, politikanın kendisi çok geniştir.