Geliştiriciler, Lambda işlevlerini ve bunların IAM rollerini içeren altyapıyı dağıtmak için AWS CDK dağıtım rolünü üstlenir. Bir güvenlik incelemesi, geliştiricilerin ve CDK dağıtım rolünün aşırı izinlere sahip olduğunu ve CDK tarafından oluşturulan Lambda rollerinin aşırı derecede izin verici olduğunu ortaya koydu. Geliştiriciler ek izinler verememelidir. En az operasyonel yük ile gereksinimi karşılayan yaklaşım hangisidir?

Doğru cevap, CDK uygulaması için gerekli maksimum izinleri listeleyen bir IAM izin sınırı politikası oluşturmaktır. Bu izin sınırı, CDK bootstrapping'ini güncelleyerek ve CDK uygulaması varsayılan izin sınırını bu politikayı kullanacak şekilde yapılandırarak uygulanır. Bu yaklaşım, geliştiricilerin veya CDK dağıtım rolünün aşırı izinlere sahip olmasını engellerken, en az operasyonel yükle geliştiricilerin ek izinler vermesini önler. İzin sınırı, oluşturulan tüm IAM rollerinin (Lambda rolleri dahil) belirtilen maksimum izinleri aşmamasını sağlar. Diğer seçenekler şunlar için uygun değildir: SCP oluşturmak, geliştiricilerin veya CDK dağıtım rolünün rol oluşturmasını veya güncellemesini tamamen engelleyebilir, bu da CDK'nın çalışması için gerekli olan meşru işlemleri de kısıtlayabilir. Ayrıca, merkezi olarak oluşturulan rollerin yönetimi operasyonel yükü artırır. Geliştiricilerin CDK kodlarında izin sınırı adına referans vermesini istemek, manuel bir adımdır ve uyumluluğu sağlamak için geliştiricilerin sorumluluğuna bağlıdır, bu da hata potansiyelini artırır. Geliştirici rolü için SCP oluşturmak ve CDK dağıtım rolünün Lambda rolleri oluşturmasına izin vermek, CDK dağıtım rolünün hala aşırı izinlere sahip olma riskini taşır. IAM Access Analyzer, mevcut izinleri doğrulamak için faydalı olsa da, gelecekteki aşırı izinleri proaktif olarak engellemez.