Una aplicación utiliza varias funciones AWS Lambda para recuperar datos sensibles de un único bucket de Amazon S3. La empresa debe garantizar que solo las funciones Lambda autorizadas puedan acceder a los datos, siguiendo el principio de privilegio mínimo. ¿Qué solución cumple estos requisitos?

La opción correcta es crear un rol de IAM individual para cada función Lambda y asignar el rol correspondiente. Esto permite aplicar el principio de privilegio mínimo, otorgando a cada función solo los permisos específicos que necesita para acceder al bucket de S3. Otorgar acceso completo a todas las funciones Lambda mediante un rol de IAM compartido viola el principio de privilegio mínimo, ya que todas las funciones tendrían más permisos de los necesarios. Configurar las funciones Lambda para que se ejecuten dentro de una VPC y usar direcciones IP del VPC endpoint en la política de bucket es una solución compleja y menos granular que el control basado en roles de IAM. Las direcciones IP de los endpoints de VPC pueden cambiar o ser difíciles de gestionar para un control de acceso preciso a nivel de función. Configurar una política de bucket que otorgue acceso basándose en los ARNs de las funciones Lambda es una opción viable, pero la gestión de roles de IAM individuales es una práctica recomendada más robusta y flexible para el control de acceso a recursos de AWS, especialmente cuando se busca una auditoría clara y una gestión de permisos detallada.