Q66 — AWS DVA-C02 第1章

第 66/100 题 | ← 返回第1章

两个确续化微服务托戴在Amazon EC 2ECS白。背伊个微服务读取Amazon RDS Aurora 数哪库实例，背二个微服务读取Amazon DynamoDB 表。 如何为每个微服务授予最并权限？

• A. 在ECS代理配置文件中的EC2实例启动时将ECS ENABLE TASK IAM ROLE 设置为false 。为ECS任务运行第一个具有IAM角色的微服务，对Aurora 数据库具有只读访问权限。使用IAM角色为ECS任务运行第二个微服务，并具有对DynamoDB 的只读访问权限。
• B. 在ECS代理配置文件中的EC2实例启动时将ECS ENABLE TASK IAM ROLE 设置为false 。授予实例配置文件角色对Aurora 数据库和DynamoDB 的只读访问权限。
• C. 在ECS代理配置文件中的EC2实例启动时将ECS ENABLE TASK IAM ROLE 设置为true。为ECS任务运行第一个具有IAM角色的微服务，对Aurora 数据库具有只读访问权限。使用IAM角色为ECS任务运行第二个微服务，并具有对DynamoDB 的只读访问权限。 ✓
• D. 在ECS代理配置文件中的EC2实例启动时将ECS ENABLE TASK IAM ROLE 设置为true。授予实例配置文件角色对Aurora 数据库和DynamoDB 的只读访问权限。

正确答案: C. 在ECS代理配置文件中的EC2实例启动时将ECS ENABLE TASK IAM ROLE 设置为true。为ECS任务运行第一个具有IAM角色的微服务，对Aurora 数据库具有只读访问权限。使用IAM角色为ECS任务运行第二个微服务，并具有对DynamoDB 的只读访问权限。

解析

在处理为两个微服务授予最小权限的问题时，将ECSENABLETASKIAMROLE设置为true可以更好地支持IAM角色的使用。对于第一个微服务，为其运行的ECS任务赋予具有对Aurora数据库的只读访问权限的IAM角色；对于第二个微服务，同样为其ECS任务赋予具有对DynamoDB只读访问权限的IAM角色，能够实现最小且精确的权限授予。选项A中将ECSENABLETASKIAMROLE设置为false不利于有效利用IAM角色。选项B中授予实例配置文件角色统一的只读访问权限不够精确，可能存在权限过大的风险。选项D中授予实例配置文件角色统一权限也不够精准。所以，正确答案是C。 【灯笼考证提供：swufelp1999】