Após a implantação em produção, os eventos do S3 em ambientes de desenvolvimento começaram a invocar as funções Lambda de produção, causando execuções indesejadas. A equipe deve interromper as invocações entre ambientes e seguir as melhores práticas de segurança. Qual solução atende a esses requisitos?

Mover desenvolvimento e produção para contas AWS separadas é uma prática recomendada de segurança que isola completamente os ambientes, prevenindo invocações acidentais entre eles. Adicionar uma política de recurso a cada função Lambda que permita invocações apenas de buckets S3 na mesma conta reforça essa separação, garantindo que as funções de produção só possam ser acionadas por eventos de S3 de produção e vice-versa. As outras opções são menos eficazes: Atualizar a função de execução do Lambda para permitir a leitura apenas do bucket S3 de produção não impede que eventos de S3 de desenvolvimento invoquem a função. A função de execução define o que o Lambda pode fazer, não o que pode invocá-lo. Adicionar uma política de recurso ao Lambda de produção que permita a invocação apenas do bucket S3 de produção é uma boa medida, mas não isola completamente os ambientes. A separação de contas é fundamental para evitar outros tipos de interferência e melhorar a segurança geral. Mover para contas separadas e atualizar a função de execução do Lambda para permitir a leitura apenas do bucket S3 na mesma conta ainda não resolve o problema de invocação acidental. A política de recurso no Lambda é necessária para controlar quem pode invocá-lo.