Ein Unternehmen implementiert eine serverlose Workload. Ein Solutions Architect muss bei der Konfiguration von Berechtigungen für eine AWS Lambda-Funktion dem Prinzip der geringsten Rechte folgen. Eine Amazon EventBridge (Amazon CloudWatch Events)-Regel wird die Funktion aufrufen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, eine ressourcenbasierte Richtlinie (Resource-Based Policy) zur Lambda-Funktion hinzuzufügen. Diese Richtlinie gewährt dem Principal events.amazonaws.com (dem EventBridge-Dienst) die Berechtigung lambda:InvokeFunction, um die Funktion aufzurufen. Dies folgt dem Prinzip der geringsten Rechte, da nur die notwendige Aktion (InvokeFunction) und der spezifische Dienst (events.amazonaws.com) autorisiert werden. Die anderen Optionen sind falsch: Eine Ausführungsrolle (Execution Role) wird von der Lambda-Funktion selbst verwendet, um auf andere AWS-Dienste zuzugreifen, nicht um von anderen Diensten aufgerufen zu werden. Die Verwendung von lambda: als Aktion würde zu viele Berechtigungen erteilen und verstößt gegen das Prinzip der geringsten Rechte. als Principal ist zu breit gefasst und unsicher. Service: lambda.amazonaws.com als Principal ist für eine Ausführungsrolle korrekt, aber nicht für den Aufruf der Funktion durch EventBridge.