Eine Lambda-Funktion in einem gemeinsam genutzten Konto muss `ec2:DescribeInstances` in mehreren Entwicklungskonten aufrufen. Wie sollten die Berechtigungen kontoübergreifend konfiguriert werden, um dem Prinzip der geringsten Rechte zu folgen?

Die korrekte Option folgt dem Prinzip der geringsten Rechte, indem sie die Berechtigungen für ec2:DescribeInstances auf die Entwicklungskonten beschränkt, wo die Ressourcen tatsächlich existieren. Eine IAM-Rolle in jedem Entwicklungskonto mit der spezifischen Berechtigung ec2:DescribeInstances und einer Vertrauensbeziehung zum gemeinsam genutzten Konto ermöglicht es der Lambda-Funktion, diese Rolle zu übernehmen. Die Lambda-Funktionsrolle im gemeinsam genutzten Konto benötigt lediglich die Berechtigung iam:AssumeRole, um diese kontoübergreifenden Rollen anzunehmen. Die erste Option ist falsch, da das gemeinsame Konto keine Berechtigungen für Ressourcen in anderen Konten haben sollte. Die dritte Option ist falsch, da das Vertrauen auf Entwicklungskonten für eine Rolle im gemeinsamen Konto nicht die Granularität bietet, die für das Prinzip der geringsten Rechte erforderlich ist. Die vierte Option ist falsch, da das Hinzufügen von ec2:DescribeInstances zur Lambda-Rolle im gemeinsamen Konto der Lambda-Funktion direkten Zugriff auf Ressourcen im gemeinsamen Konto geben würde, was nicht beabsichtigt ist.