Uma função AWS Lambda precisa de acesso de leitura a um bucket do Amazon S3 na mesma conta. Qual solução atende a esse requisito da maneira MAIS segura?

A solução mais segura é aplicar uma função do IAM (Identity and Access Management) à função Lambda e, em seguida, anexar uma política do IAM a essa função que conceda acesso de leitura apenas ao bucket S3 específico necessário. Isso segue o princípio do menor privilégio, garantindo que a função Lambda tenha apenas as permissões essenciais para sua operação. Incorporar chaves de acesso e secretas diretamente no código é uma prática insegura, pois expõe credenciais. Conceder acesso de leitura a todos os buckets S3 na conta é excessivamente permissivo e viola o princípio do menor privilégio. Uma política de bucket S3 por si só não é suficiente, pois a função Lambda ainda precisaria de uma identidade (função IAM) para assumir as permissões concedidas pela política de bucket.