Una función Lambda necesita acceder a un pequeño conjunto de objetos altamente sensibles en un bucket de S3. La empresa sigue el principio de privilegio mínimo y solo permite credenciales temporales. ¿Cuál es la forma MÁS segura de otorgar acceso a la función Lambda a esos objetos de S3?

La opción correcta es crear un rol de ejecución de Lambda y adjuntar una política de IAM que otorgue acceso específico a los objetos de S3. Este método es el más seguro porque AWS asume automáticamente el rol de IAM para la función Lambda, proporcionando credenciales temporales que se rotan automáticamente, eliminando la necesidad de gestionar claves de acceso. Esto se alinea con el principio de privilegio mínimo y el requisito de credenciales temporales. Las otras opciones son menos seguras: Programar credenciales directamente en el código es una mala práctica de seguridad, ya que las credenciales quedan expuestas y no se rotan. Almacenar claves de acceso en AWS Secrets Manager es mejor que programarlas, pero la función aún necesitaría permisos para recuperar el secreto, y seguiría usando credenciales de larga duración en lugar de las temporales proporcionadas por un rol de ejecución. Almacenar claves de acceso como variables de entorno es inseguro porque las credenciales de larga duración quedan expuestas y no se rotan automáticamente.