Um desenvolvedor usa as Notificações de Eventos do S3 para invocar funções Lambda para processamento de imagens. Na mesma conta AWS, há um bucket S3 e uma função Lambda de desenvolvimento, e um bucket S3 e uma função Lambda de produção. Uploads para o bucket de desenvolvimento estão invocando incorretamente a função Lambda de produção. O desenvolvedor deve evitar que os uploads de desenvolvimento afetem a produção com a menor interrupção. O que o desenvolvedor deve fazer?

A segregação de ambientes em contas AWS separadas é uma prática recomendada de segurança e isolamento. Isso garante que as ações em um ambiente (desenvolvimento) não afetem o outro (produção). Ao mover desenvolvimento e produção para contas separadas e adicionar políticas baseadas em recursos às funções Lambda, você restringe a invocação da função Lambda apenas aos buckets S3 dentro da mesma conta, resolvendo o problema de invocação cruzada. As outras opções são menos eficazes ou não abordam a causa raiz: Modificar a função de execução da Lambda de produção para ter permissão apenas para ler o bucket S3 de produção não impede que o evento do S3 de desenvolvimento invoque a Lambda de produção; apenas restringe o que a Lambda de produção pode fazer depois de ser invocada. Adicionar ou atualizar as políticas de bucket do S3 para que cada bucket invoque apenas sua função Lambda correspondente pode ser uma solução, mas a separação de contas oferece um isolamento mais robusto e é uma prática recomendada para evitar erros humanos e garantir a segurança. Mover o desenvolvimento e a produção para contas AWS separadas e atualizar cada função de execução da Lambda para permitir acesso de leitura apenas ao bucket S3 na mesma conta não impede a invocação cruzada. A política de execução da Lambda define o que a função pode fazer, não quem pode invocá-la.