Se está implementando una aplicación sin servidor (una función Lambda y un bucket S3) con AWS SAM. La función Lambda solo necesita acceso de lectura al bucket S3. ¿Cómo debe la plantilla SAM otorgar a la función el permiso de lectura requerido?

La opción correcta es agregar la plantilla de política administrada S3ReadPolicy al rol de ejecución de la función Lambda. AWS SAM facilita la asignación de permisos a las funciones Lambda a través de plantillas de políticas predefinidas. La S3ReadPolicy otorga los permisos necesarios para leer objetos de un bucket S3, lo cual se ajusta perfectamente al requisito de acceso de solo lectura. Al adjuntar esta política al rol de ejecución de la función Lambda, se asegura que la función tenga los permisos mínimos necesarios (principio de privilegio mínimo) para interactuar con el bucket S3. Las otras opciones son incorrectas: Referenciar una segunda función de autorizador Lambda no es el mecanismo para otorgar permisos de acceso a S3 a la función principal. Los autorizadores se usan para controlar el acceso a API Gateway. Adjuntar una política de bucket S3 personalizada a la función Lambda es posible, pero la S3ReadPolicy es una forma más sencilla y estándar de lograr el mismo objetivo para este caso específico. Crear un tema de Amazon SQS no tiene relación con otorgar permisos de lectura de S3 a una función Lambda. SQS se usa para desacoplar componentes de aplicaciones y gestionar colas de mensajes.