Ein externes Sicherheitsaudit hat ergeben, dass viele AWS Lambda-Ausführungsrollen in einer serverlosen Anwendung übermäßig weit gefasste IAM-Richtlinien (z. B. vollständiger S3- und DynamoDB-Zugriff) aufweisen. Das Unternehmen möchte, dass jede Funktion nur die minimal erforderlichen Berechtigungen besitzt. Ein Lösungsarchitekt muss mit dem geringsten Aufwand die genauen Berechtigungen ermitteln, die jede Lambda-Funktion benötigt. Was sollte der Architekt tun?

Die Aktivierung von AWS CloudTrail und die Nutzung von IAM Access Analyzer ist die effizienteste Methode. CloudTrail zeichnet alle API-Aufrufe auf, die von den Lambda-Funktionen getätigt werden. IAM Access Analyzer kann diese CloudTrail-Protokolle analysieren und automatisch IAM-Richtlinien generieren, die auf den tatsächlich verwendeten Berechtigungen basieren. Dies gewährleistet das Prinzip der geringsten Rechte mit minimalem manuellem Aufwand. Die generierten Richtlinien müssen anschließend überprüft werden, um sicherzustellen, dass sie den geschäftlichen Anforderungen entsprechen. Die Verwendung von Amazon CodeGuru ist für die Code-Analyse und Leistungsoptimierung gedacht, nicht primär für die automatische Generierung von IAM-Richtlinien basierend auf tatsächlicher Nutzung. Das manuelle Skripting von CloudTrail-Protokollen oder die Verwendung von Amazon EMR ist wesentlich aufwendiger und fehleranfälliger als die Nutzung des integrierten IAM Access Analyzer.