数十のプロジェクトが同じアカウントでEC2を使う。プロジェクトが増えるたびにIAMポリシーを書き足さず、開発者が自分のプロジェクトのインスタンスだけを停止・起動できるようにしたい。開発者のロールのセッションにはProjectタグが付与される。
最も適切なものを1つ選択してください。
出典AWS非公式・オリジナル問題
ア
SCPでプロジェクト名ごとにリージョンを分け、開発者には管理者権限を付与する
イ
全開発者へec2:StopInstancesとStartInstancesを全リソースに許可し、CloudTrailで事後に操作を確認する
ウ
ec2:ResourceTag/Projectとaws:PrincipalTag/Projectが一致する場合だけ操作を許可する条件を書く
エ
プロジェクトごとにIAMロールを作り、インスタンスIDを列挙したポリシーを毎回更新する