Ein Unternehmen muss einen täglichen Sicherheitsbericht automatisieren. Eine AWS Lambda-Funktion in us-west-2 liest Amazon Inspector-Ergebnisse, die in AWS Security Hub aufgenommen wurden, und wird nach einem Zeitplan von Amazon EventBridge ausgelöst. Die Funktion kann den Bericht nicht generieren. Geben Sie eine Lösung mit geringsten Rechten an. Welche Lösung erfüllt diese Anforderungen?

Die Lambda-Funktion benötigt Lesezugriff auf Amazon Inspector-Ergebnisse, die in AWS Security Hub aufgenommen wurden. Daher muss die Ausführungsrolle der Lambda-Funktion über schreibgeschützte Berechtigungen für beide Dienste verfügen. Die Option "Gewähren Sie der Lambda-Ausführungsrolle schreibgeschützte Berechtigungen für Amazon Inspector und AWS Security Hub" erfüllt dies mit den geringsten Rechten. Die Option mit der ressourcenbasierten Richtlinie ist falsch, da Security Hub keinen Zugriff auf die Lambda-Funktion benötigt, sondern die Lambda-Funktion Zugriff auf Security Hub. Die AWS verwaltete Richtlinie AWSSecurityHubReadOnlyAccess allein ist nicht ausreichend, da die Funktion auch Zugriff auf Inspector-Ergebnisse benötigt. Eine benutzerdefinierte IAM-Richtlinie, die nur bestimmte Aktionen für Security Hub gewährt, ist zu restriktiv, da sie möglicherweise nicht alle erforderlichen Aktionen für die Ergebnisverarbeitung abdeckt und den Zugriff auf Inspector nicht berücksichtigt.