Una regla personalizada de AWS Config utiliza una función Lambda para verificar las políticas del repositorio de Amazon ECR en busca de declaraciones que permitan acciones ecr:*. Cuando se encuentra un repositorio no conforme, EventBridge enruta la notificación a través de SNS a un equipo de seguridad. La función Lambda no se ejecuta durante las evaluaciones de la regla. ¿Qué cambio soluciona el problema?

La función Lambda no se ejecuta porque AWS Config no tiene permiso para invocarla. Las funciones Lambda que actúan como evaluadores para reglas personalizadas de AWS Config requieren una política basada en recursos que permita al servicio config.amazonaws.com invocar la función. Sin este permiso explícito, AWS Config no puede activar la función, lo que impide que se realicen las evaluaciones. Modificar la política del tema de SNS no resolvería el problema de la invocación de Lambda, ya que SNS se encarga de la notificación posterior a la evaluación, no de la ejecución de la regla. Agregar permisos al rol de ejecución de Lambda es importante para que la función pueda realizar sus tareas (como leer políticas de ECR), pero no resuelve el problema de que AWS Config no pueda iniciar la función en primer lugar. Modificar las políticas de ECR no es relevante para el problema de invocación de Lambda; se relaciona con el acceso de AWS Config a los repositorios, no con la ejecución de la función.