Eine serverlose Anwendung (eine Lambda-Funktion und ein S3-Bucket) wird mit AWS SAM bereitgestellt. Die Lambda-Funktion benötigt nur Lesezugriff auf den S3-Bucket. Wie sollte die SAM-Vorlage der Funktion die erforderliche Leseberechtigung erteilen?

Die korrekte Methode ist, die verwaltete Richtlinienvorlage S3ReadPolicy zur Ausführungsrolle der Lambda-Funktion hinzuzufügen. AWS SAM (Serverless Application Model) vereinfacht die Berechtigungsverwaltung, indem es vordefinierte Richtlinienvorlagen bereitstellt. S3ReadPolicy gewährt der Lambda-Funktion die notwendigen Leseberechtigungen für S3-Buckets, ohne dass manuelle IAM-Richtlinien erstellt werden müssen. Dies ist der sicherste und effizienteste Weg, da die Funktion nur die minimal erforderlichen Berechtigungen erhält (Least Privilege). Eine zweite Lambda-Autorisierungsfunktion ist für die Berechtigungsvergabe an eine andere Lambda-Funktion nicht vorgesehen. Das Hinzufügen einer benutzerdefinierten S3-Bucket-Richtlinie wäre zwar möglich, aber die Berechtigungen sollten primär über die Ausführungsrolle der Lambda-Funktion verwaltet werden, um das Prinzip der geringsten Rechte (Least Privilege) zu wahren und die Berechtigungen direkt an die Funktion zu binden. Ein Amazon SQS-Thema ist für die Nachrichtenübermittlung gedacht und hat keine direkte Funktion zur Berechtigungsverwaltung für S3-Zugriffe.