Ein Unternehmen verfügt über Hunderte von Lambda-Funktionen, und das QA-Team muss diese über Lambda-Funktions-URLs aufrufen. Das QA-Team befindet sich in einer IAM-Gruppe. Ein Entwickler muss die Authentifizierung so konfigurieren, dass die QA-Gruppe die öffentlichen Funktions-URLs aufrufen kann. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung besteht darin, Funktions-URLs mit AWSIAM-Authentifizierung zu konfigurieren und dann eine identitätsbasierte IAM-Richtlinie zu erstellen, die der QA-Gruppe die Berechtigung lambda:InvokeFunctionUrl für alle Lambda-ARNs erteilt. Dies ermöglicht es der QA-Gruppe, die Funktionen über die URLs aufzurufen, wobei IAM die Authentifizierung und Autorisierung übernimmt. Die Option, Funktions-URLs ohne Authentifizierung hinzuzufügen, ist falsch, da dies die Funktionen öffentlich zugänglich machen würde, ohne IAM-Kontrolle, was ein Sicherheitsrisiko darstellt. Die Erstellung einer ressourcenbasierten Richtlinie, die an die Funktion selbst angehängt wird, ist für diesen Anwendungsfall weniger effizient, da Hunderte von Funktionen einzeln aktualisiert werden müssten. Eine identitätsbasierte Richtlinie, die an die IAM-Gruppe angehängt wird, ist skalierbarer. Die Option, eine identitätsbasierte Richtlinie zu erstellen, die lambda:InvokeFunctionUrl von der ARN der QA-IAM-Gruppe aus zulässt, ist ebenfalls falsch, da Richtlinien nicht von der ARN einer Gruppe aus aufgerufen werden, sondern die Gruppe die Richtlinie anwendet.