Bir şirketin, referans veri kümesi içeren bir Amazon Elastic File System (Amazon EFS) dosya sistemi vardır. EC2 tabanlı uygulamaların veri kümesini okuması gerekir ancak değiştirmemesi gerekir. Şirket, uygulamaların veri kümesini değiştirmesini veya silmesini önlemek için IAM erişim kontrolünü kullanmak istiyor. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, EC2 örneklerine bağlı IAM rolleri için elasticfilesystem:ClientWrite eylemini reddeden bir EFS kaynak politikası oluşturmaktır. Bu, uygulamaların veri kümesini okumasına izin verirken, IAM rolü aracılığıyla yazma veya silme işlemlerini engeller. EFS kaynak politikaları (dosya sistemi politikaları), belirli IAM kimlikleri için EFS dosya sistemi düzeyinde izinleri yönetmenin güçlü bir yoludur. Diğer seçenekler neden yanlış: EFS dosya sistemini salt okunur modda bağlamak, istemci tarafında bir ayardır ve güvenlik mekanizması değildir. Kötü niyetli bir uygulama veya kullanıcı bu ayarı değiştirebilir. EFS dosya sistemi üzerinde bir kimlik politikası oluşturmak, EFS dosya sisteminin kendisi için değil, bir IAM kullanıcısı veya rolü için geçerlidir. Bu senaryoda, EC2 örneklerine bağlı IAM rollerinin izinlerini yönetmek için bir kaynak politikası daha uygundur. Her uygulama için bir EFS erişim noktası oluşturmak ve POSIX dosya izinlerini kullanmak, dosya sistemi düzeyinde erişimi yönetmek için bir yöntemdir ancak IAM tabanlı erişim kontrolünü doğrudan sağlamaz. Ayrıca, POSIX izinleri dosya sistemi içindeki belirli dosyalar veya dizinler için daha çok kullanılırken, burada genel bir yazma engelleme ihtiyacı vardır.