Uma função Lambda em uma conta compartilhada deve chamar ec2:DescribeInstances em várias contas de desenvolvimento. Para seguir o princípio do privilégio mínimo, como as permissões devem ser configuradas entre as contas?

A abordagem correta envolve a criação de perfis específicos em cada conta de desenvolvimento. Ao criar um perfil do IAM em cada conta de desenvolvimento com a permissão ec2:DescribeInstances, você garante que a função Lambda só terá acesso a essa permissão nas contas onde ela é necessária. A relação de confiança nesses perfis permite que a conta compartilhada (onde a Lambda reside) os assuma. Finalmente, conceder à função Lambda a permissão iam:AssumeRole na conta compartilhada permite que ela assuma esses perfis nas contas de desenvolvimento, seguindo o princípio do privilégio mínimo. As outras opções são incorretas porque: Criar um perfil na conta compartilhada com confiança nas contas de desenvolvimento e adicionar ec2:DescribeInstances ao perfil da Lambda na conta compartilhada não permite que a Lambda acesse recursos em outras contas de forma segura e granular. A terceira opção falha ao não especificar que a permissão ec2:DescribeInstances deve estar nos perfis das contas de desenvolvimento, não na conta compartilhada, para acessar recursos nessas contas. A quarta opção, embora crie perfis nas contas de desenvolvimento, adiciona ec2:DescribeInstances ao perfil da Lambda na conta compartilhada, o que não é a forma correta de assumir um perfil em outra conta.