Uma função Lambda precisa acessar um pequeno conjunto de objetos altamente sensíveis em um bucket S3. A empresa segue o princípio do privilégio mínimo e permite apenas credenciais temporárias. Qual é a maneira MAIS segura de conceder à função Lambda acesso a esses objetos S3?

A maneira mais segura é criar uma função de execução Lambda e anexar uma política do IAM a ela, concedendo acesso aos objetos S3 específicos. Isso utiliza credenciais temporárias fornecidas pelo IAM para a função Lambda, seguindo o princípio do privilégio mínimo e eliminando a necessidade de gerenciar chaves de acesso de longo prazo. Codificar credenciais diretamente no código da aplicação é uma prática insegura, pois as credenciais podem ser expostas. Armazenar chaves de acesso no AWS Secrets Manager e recuperá-las é melhor que codificar, mas ainda envolve o gerenciamento de credenciais de longo prazo, o que é menos seguro que usar as credenciais temporárias do IAM. Armazenar chaves de acesso como variáveis de ambiente Lambda também é inseguro, pois elas podem ser acessadas por qualquer pessoa com permissão para visualizar a configuração da função.