Uma aplicação usa várias funções AWS Lambda para recuperar dados confidenciais de um único bucket Amazon S3. A empresa deve garantir que apenas as funções Lambda autorizadas possam acessar os dados, seguindo o princípio do menor privilégio. Qual solução atende a esses requisitos?

A criação de uma função IAM individual para cada função Lambda e a concessão de acesso específico ao bucket S3 para cada uma delas, seguida da atribuição dessa função IAM como a função de execução do Lambda, adere estritamente ao princípio do menor privilégio. Isso garante que cada função Lambda tenha apenas as permissões necessárias para acessar os dados confidenciais, sem acesso excessivo. Conceder acesso total a todas as funções Lambda usando uma função IAM compartilhada viola o princípio do menor privilégio. Configurar as funções Lambda para serem executadas dentro de uma VPC e usar endereços IP de endpoint da VPC para controle de acesso não é ideal, pois endereços IP podem mudar e não são o método mais granular para controle de acesso de funções Lambda. Configurar uma política de bucket com base nos ARNs das funções Lambda é uma opção válida, mas a criação de funções IAM individuais oferece maior flexibilidade e granularidade no gerenciamento de permissões, especialmente em ambientes complexos com muitas funções.