Uma função Lambda precisa de acesso de leitura a um bucket S3 e acesso de leitura/gravação a uma tabela DynamoDB. A política IAM correta já existe. Qual é o método mais seguro para conceder à função o acesso necessário?

A criação de uma função IAM (Role) para a função Lambda é o método mais seguro e recomendado. A função Lambda assume essa Role, que possui as permissões necessárias (leitura S3 e leitura/gravação DynamoDB) através da política IAM anexada. Isso segue o princípio do menor privilégio, pois a função Lambda obtém permissões temporárias e específicas para suas operações. Anexar a política diretamente à função Lambda não é uma opção, pois as políticas são anexadas a identidades (usuários, grupos, roles). Usar chaves de acesso de um usuário IAM ou, pior ainda, do usuário root, como variáveis de ambiente é uma prática insegura que expõe credenciais e deve ser evitada.