Q21 — AWS DOP-C02 第1章

第 21/100 题 | ← 返回第1章

公司在从国所业安全组织中响一个组织。一个开发人员工程师需要维护多个属于组织中不同的US帐户。职响的资源,包括一个账户中 的iam策略和亚马逊S3策略,都是通活aws云形成范赛署的。职响的模板和代码都保存在一个aws代码分解存储库中。最近,一些开发人 员岛法美组织中的一些帐户中访问S3桶。 以下保单附于S3桶: 开发工程师应该做什么范解决这个访问问题?

• A. 修改S3桶策略。关闭S3桶上的S3块公共访问设置。在S3策略中,添加Aws:来源帐户条件。添加所有遇到此问题的开发人员的AWS帐户ID。
• B. 验证没有IAM权限边界拒绝开发人员访问S3桶。对iam权限边界进行必要的更改。在遇到问题的单个开发人员帐户中使用aws配置记录器来恢复正在阻塞访问的任何更改。将修复提交回代码分解存储库。通过云形成调用部署来应用更改。
• C. 配置一个SCP,阻止任何人修改开发人员OS中的IAM资源。在S3策略中,添加Aws:来源帐户条件。添加所有遇到此问题的开发人员的AWS帐户ID。将修复提交回代码分解存储库。通过云形成调用部署来应用更改。
• D. 发展 确保SCP不会阻塞开发人员对S3桶的访问。确保不存在IAM策略权限边界拒绝开发人员访问IAM用户。对代码分解存储库中的SCP和IAM策略权限边界进行必要的更改。通过云形成调用部署来应用更改。 ✓

正确答案: D. 发展 确保SCP不会阻塞开发人员对S3桶的访问。确保不存在IAM策略权限边界拒绝开发人员访问IAM用户。对代码分解存储库中的SCP和IAM策略权限边界进行必要的更改。通过云形成调用部署来应用更改。

解析

题目描述了一个开发人员工程师需要维护多个AWS帐户，并且有一些开发人员无法访问S3桶。S3桶策略允许特定的操作，但需要确保开发人员有适当的权限。选项D提出了确保SCP不会阻塞开发人员对S3桶的访问，并确保IAM策略权限边界不会拒绝开发人员访问IAM用户。通过对这些策略进行必要的更改并通过云形成部署，可以解决访问问题。这是最全面的解决方案，涵盖了IAM和SCP的配置。