Um desenvolvedor tem um aplicativo que usa uma função AWS Lambda para fazer upload de arquivos para o Amazon S3 e precisa de permissões para realizar os uploads. O desenvolvedor já tem um usuário IAM com credenciais IAM válidas para o Amazon S3. O que um arquiteto de soluções deve fazer para conceder as permissões necessárias?

A resposta correta é "Criar uma função de execução IAM com as permissões necessárias e anexar a função IAM à função Lambda". Funções Lambda devem usar funções de execução (execution roles) do IAM para obter permissões temporárias para acessar outros serviços AWS, como o Amazon S3. Anexar uma função de execução com as permissões apropriadas (por exemplo, s3:PutObject) à função Lambda é a maneira segura e recomendada de conceder acesso. As outras opções estão incorretas porque: Adicionar permissões na política de recurso da função Lambda não concede acesso a outros serviços AWS; políticas de recurso controlam quem pode invocar a função Lambda. Criar uma solicitação assinada usando credenciais IAM existentes na função Lambda é uma abordagem complexa e menos segura para gerenciar permissões de serviço para serviço. Criar um novo usuário IAM e usar suas credenciais diretamente na função Lambda é uma prática de segurança ruim, pois envolve o armazenamento de credenciais de longo prazo, o que não é recomendado para funções Lambda.