DataForge expose un petit outil d'administration interne via une URL de fonction Lambda. Ils doivent restreindre l'accès afin que seuls les appelants de leur organisation AWS puissent l'invoquer et exiger l'authentification SigV4. Ils ne veulent pas ajouter d'API Gateway. Que devraient-ils faire ?

L'option correcte utilise AuthType défini sur AWSIAM pour exiger l'authentification SigV4, comme demandé. L'ajout d'une politique basée sur les ressources avec la condition aws:PrincipalOrgID garantit que seuls les principaux de l'organisation AWS spécifiée peuvent invoquer la fonction, répondant ainsi à l'exigence de restriction d'accès. Les autres options sont incorrectes car : L'utilisation d'un autorisateur Cognito n'est pas spécifiée et n'est pas la méthode la plus directe pour restreindre l'accès aux appelants de l'organisation AWS avec SigV4 sans API Gateway. Les clés API ne fournissent pas l'authentification SigV4 et ne permettent pas de restreindre l'accès par PrincipalOrgID. AuthType=NONE désactive toute authentification, ce qui contredit l'exigence d'authentification SigV4. CORS est une mesure de sécurité côté client et ne contrôle pas l'invocation côté serveur.