Uma aplicação serverless usa Amazon API Gateway, AWS Lambda e Amazon DynamoDB. A função Lambda precisa de permissões para ler e gravar na tabela DynamoDB. Qual solução dará à função Lambda acesso à tabela DynamoDB da forma MAIS segura?

A solução mais segura é usar uma função IAM (Role) para o Lambda. Ao configurar uma função IAM com o Lambda como serviço confiável e anexar uma política que concede acesso de leitura/gravação ao DynamoDB, o Lambda assume essa função temporariamente quando é executado, obtendo as permissões necessárias sem a necessidade de credenciais de longo prazo. As outras opções são menos seguras: Criar um usuário IAM e armazenar accesskeyid e secretaccesskey como variáveis de ambiente da função Lambda expõe credenciais de longo prazo, o que é uma prática de segurança ruim. Armazenar as chaves no Parameter Store é melhor do que nas variáveis de ambiente, mas ainda envolve o gerenciamento de credenciais de longo prazo e requer código adicional para recuperá-las, enquanto uma Role elimina a necessidade de gerenciar credenciais. A opção que inclui o DynamoDB como serviço confiável para a função IAM está incorreta, pois o serviço confiável deve ser o Lambda, que é quem assume a função.