一个 Lambda 函数需要对 S3 存储桶的读取访问权限以及对 DynamoDB 表的读写访问权限。正确的 IAM 策略已存在。授予该函数所需访问权限的最安全方法是什么？

为 Lambda 函数创建一个 IAM 角色，并将所需权限策略附加到该角色，然后将该角色分配给函数，这是最安全且推荐的做法。Lambda 函数将临时担任此角色，从而获得执行其任务所需的最小权限，这遵循了最小权限原则。 直接将策略附加到 Lambda 函数是不可能的，因为 Lambda 函数本身不直接拥有策略，而是通过执行角色来获取权限。 将 IAM 用户的访问密钥和秘密密钥存储在 Lambda 函数中（无论是作为环境变量还是加密变量）都是不安全的做法。这会增加凭证泄露的风险，并且难以管理和轮换。 使用 AWS 账户根用户的访问密钥和秘密密钥是极其危险的，因为根用户拥有账户的完全权限，任何泄露都可能导致灾难性后果。这严重违反了安全最佳实践。