Uma auditoria de segurança externa descobriu que muitas roles de execução do AWS Lambda em um aplicativo serverless têm políticas do IAM excessivamente amplas (por exemplo, acesso total ao S3 e ao DynamoDB). A empresa deseja que cada função tenha apenas as permissões mínimas necessárias. Um arquiteto de soluções deve determinar as permissões exatas que cada função Lambda requer com o mínimo de esforço. O que o arquiteto deve fazer?

A opção correta é habilitar o AWS CloudTrail e usar o IAM Access Analyzer para gerar políticas do IAM. O CloudTrail registra todas as chamadas de API feitas na conta, fornecendo os dados necessários para identificar as permissões exatas. O IAM Access Analyzer pode então processar esses logs do CloudTrail para gerar políticas de permissões mínimas (least privilege) com base na atividade real das funções Lambda, minimizando o esforço manual. As políticas geradas devem ser revisadas para garantir que atendam aos requisitos de negócios. As opções incorretas envolvem muito esforço manual ou ferramentas menos adequadas para essa tarefa. O Amazon CodeGuru é mais focado em otimização de código e segurança, não em geração de políticas IAM baseada em uso. Escrever scripts para analisar logs do CloudTrail ou usar o Amazon EMR para processamento é possível, mas o IAM Access Analyzer oferece uma solução mais automatizada e eficiente para essa finalidade específica.