Bir uygulama şu anda tüm AWS hizmetlerine tam erişim sağlayan, aşırı izinlere sahip bir IAM rolü kullanmaktadır. SysOps yöneticisinin, uygulamanın gerçekten ihtiyaç duyduğu izinleri veren bir ilke oluşturması gerekmektedir. Yönetici böyle bir ilke oluşturmak için hangi adımları atmalıdır?

Doğru cevap, AWS CloudTrail'i etkinleştirmek ve ardından kaydedilen etkinlikten en az ayrıcalıklı bir ilke oluşturmak için IAM Access Analyzer'ı kullanmaktır. CloudTrail, AWS hesabınızdaki API çağrılarını ve ilgili olayları kaydeder. Bu kayıtlar, uygulamanın hangi AWS hizmetlerini ve eylemlerini gerçekten kullandığını gösterir. IAM Access Analyzer, CloudTrail günlüklerindeki bu kullanım verilerini analiz ederek, uygulamanın ihtiyaç duyduğu minimum izinleri içeren bir ilke taslağı oluşturabilir. Bu, aşırı izinleri azaltarak güvenlik duruşunu iyileştirir. Diğer seçenekler yanlıştır çünkü: AWS Security Hub, güvenlik bulgularını toplar ve analiz eder, ancak doğrudan CloudTrail günlüklerinden ilke oluşturma yeteneğine sahip değildir. Amazon EventBridge (eski adıyla CloudWatch Events), olay tabanlı kurallar oluşturmak için kullanılır, ancak ilke oluşturma aracı değildir. AWS CLI get-generated-policy komutu, IAM Access Analyzer'ın bir özelliğidir ancak bu komutun çalıştırılması için öncelikle CloudTrail'in etkinleştirilmesi ve yeterli kullanım verisinin toplanması gerekir. Sadece komutu çalıştırmak, gerekli veriler olmadan anlamlı bir ilke oluşturmaz.