Eine Anwendung verwendet mehrere AWS Lambda-Funktionen, um sensible Daten aus einem einzigen Amazon S3-Bucket abzurufen. Das Unternehmen muss sicherstellen, dass nur autorisierte Lambda-Funktionen auf die Daten zugreifen können, gemäß dem Prinzip der geringsten Rechte. Welche Lösung erfüllt diese Anforderungen?

Die Erstellung einer individuellen IAM-Rolle für jede Lambda-Funktion und die Zuweisung spezifischer Berechtigungen für den S3-Bucket ist die beste Lösung, da sie dem Prinzip der geringsten Rechte folgt. Jede Funktion erhält nur die Berechtigungen, die sie benötigt, wodurch das Risiko eines unbefugten Zugriffs minimiert wird. Die Gewährung von vollem S3-Bucket-Zugriff über eine gemeinsame IAM-Rolle verstößt gegen das Prinzip der geringsten Rechte, da alle Funktionen übermäßige Berechtigungen erhalten. Das Konfigurieren von Lambda-Funktionen innerhalb einer VPC und die Verwendung von Bucket-Richtlinien basierend auf VPC-Endpunkt-IP-Adressen ist komplex und weniger granular als IAM-Rollen. Eine Bucket-Richtlinie, die den Zugriff basierend auf Funktions-ARNs gewährt, ist zwar möglich, aber die Verwaltung von Berechtigungen über IAM-Rollen ist der Standardansatz und bietet eine bessere Trennung von Aufgaben und einfachere Verwaltung.