账户 A 中的 Lambda 函数需要读取账户 B 中 S3 存储桶中的对象。SysOps 管理员将在两个账户中创建 IAM 角色以启用此访问。哪种角色配置能满足此要求？

正确配置涉及跨账户角色委派。在账户 A 中，Lambda 函数的执行角色需要具有 sts:AssumeRole 权限，允许它承担账户 B 中的角色。在账户 B 中，需要创建一个角色，其信任策略允许账户 A 的 Lambda 执行角色承担，并且该角色本身具有访问 S3 存储桶的权限。这样，账户 A 的 Lambda 函数就可以通过承担账户 B 的角色来访问 S3 存储桶。 其他选项不正确的原因： 选项 2 尝试直接从账户 A 授予 S3 访问权限，但 S3 存储桶在账户 B 中，这通常需要跨账户角色。 选项 3 颠倒了角色创建的逻辑，将 S3 访问权限放在了账户 B 的 Lambda 执行角色上，而不是一个可被承担的角色。 选项 4 混淆了哪个账户承担哪个角色，导致权限配置错误。