O código para uma função Lambda é armazenado em um bucket S3 e deve ser implantado em várias contas AWS na mesma Região. Um modelo do CloudFormation será executado em cada conta para implantar a função. Qual é a maneira MAIS segura de permitir que o CloudFormation recupere o código Lambda do bucket S3?

A opção correta é a mais segura porque concede as permissões mínimas necessárias (ListBucket e GetObject) ao perfil de serviço do CloudFormation, que é quem realmente precisa acessar o código. A política de bucket S3 restringe o acesso explicitamente às contas AWS permitidas, seguindo o princípio do privilégio mínimo. A segunda opção está incorreta porque usar um principal "" na política de bucket S3 permite acesso público, o que é uma falha de segurança grave e não restringe o acesso às contas específicas. As opções três e quatro estão incorretas porque as permissões vinculadas a serviço (Service-Linked Roles) são para serviços específicos da AWS interagirem entre si, não para o CloudFormation acessar um bucket S3 para implantação de código. Além disso, as permissões seriam concedidas à função Lambda, e não ao CloudFormation, que é quem precisa do acesso para recuperar o código.