Ein Entwickler verwendet S3 Event Notifications, um Lambda-Funktionen für die Bildverarbeitung aufzurufen. Im selben AWS-Konto gibt es einen Entwicklungs-S3-Bucket und Lambda sowie einen Produktions-S3-Bucket und Lambda. Uploads in den Entwicklungs-Bucket rufen fälschlicherweise die Produktions-Lambda auf. Der Entwickler muss verhindern, dass Entwicklungs-Uploads die Produktion mit dem geringsten Aufwand beeinträchtigen. Was sollte der Entwickler tun?

Die korrekte Lösung ist, Entwicklung und Produktion in separate AWS-Konten zu verschieben und ressourcenbasierte Richtlinien zu den Lambda-Funktionen hinzuzufügen. Dies ist die beste Methode, um eine vollständige Isolation zwischen Entwicklung und Produktion zu gewährleisten und unbeabsichtigte Aufrufe zu verhindern. Durch separate Konten wird sichergestellt, dass S3-Ereignisbenachrichtigungen aus dem Entwicklungs-Bucket die Produktions-Lambda nicht erreichen können. Ressourcenbasierte Richtlinien auf den Lambda-Funktionen stellen sicher, dass nur S3-Buckets innerhalb desselben Kontos die Funktion aufrufen dürfen. Das Ändern der Ausführungsrolle der Produktions-Lambda würde nicht verhindern, dass die Lambda aufgerufen wird, sondern nur, dass sie auf den S3-Bucket zugreifen kann. Das Aktualisieren von S3-Bucket-Richtlinien würde die Konfiguration der S3-Ereignisbenachrichtigungen nicht ändern und das Problem der falschen Aufrufe nicht lösen. Das Verschieben in separate Konten ist gut, aber das Aktualisieren der Ausführungsrolle der Lambda ist nicht ausreichend, da die Ausführungsrolle die Berechtigungen der Lambda beim Ausführen steuert, nicht wer sie aufrufen darf.