El código de una función Lambda se almacena en un bucket de S3 y debe implementarse en varias cuentas de AWS en la misma Región. Se ejecutará una plantilla de CloudFormation en cada cuenta para implementar la función. ¿Cuál es la forma MÁS segura de permitir que CloudFormation recupere el código de Lambda del bucket de S3?

La opción correcta es la más segura porque otorga los permisos mínimos necesarios (ListBucket y GetObject) al rol de CloudFormation para acceder al bucket S3. Además, restringe el acceso solo a las cuentas de AWS específicas que necesitan implementar la función, utilizando una política de bucket. Esto implementa el principio de privilegio mínimo. Las opciones incorrectas son: "Otorgue al rol de servicio de CloudFormation permiso S3 GetObject. Agregue una política de bucket de S3 que permita el acceso desde el principal "" (cualquiera)": Permitir el acceso desde "" es inseguro, ya que cualquier cuenta de AWS podría acceder al bucket. Las opciones que mencionan "permiso vinculado a un servicio para otorgar a la función Lambda" son incorrectas porque la función Lambda no es quien recupera el código del bucket de S3; es el servicio CloudFormation el que lo hace durante la implementación.