開發人員會擔任 AWS CDK 部署角色，以部署包含 Lambda 函數及其 IAM 角色的基礎設施。安全性審查發現開發人員和 CDK 部署角色擁有過多的權限，且 CDK 建立的 Lambda 角色權限過於寬鬆。開發人員不得授予額外的權限。哪種方法能以最少的操作負擔滿足此要求？

正確答案是透過 IAM 權限邊界政策來限制 CDK 應用程式建立的角色權限。IAM 權限邊界定義了實體（使用者或角色）可以擁有的最大權限，即使其身分型政策允許更多權限，權限邊界也會限制其有效權限。透過更新帳戶的 CDK 啟動程序並設定預設權限邊界，可以確保所有由 CDK 部署的角色都受到此邊界的限制，而無需開發人員手動操作，實現最小操作負擔。 選項一和四的 SCP 雖然可以限制 iam:CreateRole 和 iam:UpdateRole，但這會阻止開發人員或 CDK 部署角色建立任何角色，不符合 CDK 部署基礎設施的需求。選項三要求開發人員手動參考權限邊界，增加了操作負擔，且無法保證所有開發人員都會遵守。