Una auditoría de seguridad externa encontró que muchos roles de ejecución de AWS Lambda en una aplicación serverless tienen políticas de IAM demasiado amplias (por ejemplo, acceso completo a S3 y DynamoDB). La empresa quiere que cada función tenga solo los permisos mínimos necesarios. Un arquitecto de soluciones debe determinar los permisos exactos que requiere cada función Lambda con el menor esfuerzo. ¿Qué debería hacer el arquitecto?

La opción correcta es habilitar AWS CloudTrail y usar IAM Access Analyzer. CloudTrail registra las llamadas a la API realizadas en su cuenta de AWS, proporcionando un registro detallado de las acciones de cada función Lambda. IAM Access Analyzer puede entonces analizar estos registros de CloudTrail y generar políticas de IAM de permisos mínimos basadas en la actividad observada. Esto reduce significativamente el esfuerzo manual, ya que automatiza la identificación de los permisos necesarios. Las otras opciones son menos eficientes. Amazon CodeGuru es para optimización de código y seguridad, no para generar políticas de IAM basadas en el uso. Escribir un script para analizar logs de CloudTrail o usar Amazon EMR para procesarlos son soluciones válidas, pero requieren un desarrollo y mantenimiento de código personalizado, lo que aumenta el esfuerzo en comparación con la funcionalidad integrada de IAM Access Analyzer.