Eine Lambda-Funktion benötigt Lesezugriff auf einen S3-Bucket und Lese-/Schreibzugriff auf eine DynamoDB-Tabelle. Die korrekte IAM-Richtlinie existiert bereits. Was ist die sicherste Methode, um der Funktion den erforderlichen Zugriff zu gewähren?

Die sicherste Methode ist die Verwendung einer IAM-Rolle. Eine IAM-Rolle ist eine temporäre Berechtigung, die einer AWS-Ressource (wie einer Lambda-Funktion) zugewiesen wird, um auf andere AWS-Dienste zuzugreifen. Dies folgt dem Prinzip der geringsten Rechte, da die Lambda-Funktion nur die Berechtigungen erhält, die sie benötigt, und keine dauerhaften Anmeldeinformationen gespeichert werden. Das direkte Anhängen einer Richtlinie an die Lambda-Funktion ist nicht möglich, da Richtlinien an Identitäten (Benutzer, Rollen) und nicht direkt an Ressourcen angehängt werden. Die Verwendung eines IAM-Benutzers mit Zugriffsschlüsseln als Umgebungsvariablen ist weniger sicher, da diese Schlüssel kompromittiert werden könnten. Das Speichern von Root-Benutzer-Anmeldeinformationen ist extrem unsicher und sollte niemals erfolgen, da der Root-Benutzer uneingeschränkte Berechtigungen besitzt.