Una función Lambda necesita acceso de lectura a un bucket de S3 y acceso de lectura/escritura a una tabla de DynamoDB. La política de IAM correcta ya existe. ¿Cuál es el método más seguro para otorgar a la función el acceso requerido?

La opción correcta es crear un rol de IAM para la función Lambda, adjuntar la política existente a ese rol y asignar el rol a la función. Este es el método más seguro y recomendado por AWS porque sigue el principio de privilegio mínimo y utiliza credenciales temporales. La función Lambda asume el rol y obtiene permisos temporales para acceder a S3 y DynamoDB sin almacenar credenciales de larga duración. Adjuntar la política directamente a la función Lambda no es posible; las políticas se adjuntan a identidades (usuarios, roles, grupos). Crear un usuario de IAM y usar sus claves de acceso como variables de entorno es menos seguro porque las claves de larga duración son un riesgo de seguridad si se exponen. Usar las claves del usuario root es extremadamente inseguro, ya que el usuario root tiene permisos ilimitados sobre la cuenta de AWS y sus credenciales nunca deben usarse para operaciones diarias o almacenarse en código.