Un audit de sécurité externe a révélé que de nombreux rôles d'exécution AWS Lambda dans une application serverless ont des politiques IAM trop larges (par exemple, un accès complet à S3 et DynamoDB). L'entreprise souhaite que chaque fonction n'ait que les autorisations minimales nécessaires. Un architecte de solutions doit déterminer les autorisations exactes requises par chaque fonction Lambda avec le moins d'effort possible. Que doit faire l'architecte ?

L'option correcte est la plus efficace car elle utilise les outils AWS natifs conçus spécifiquement pour cette tâche. AWS CloudTrail enregistre toutes les actions d'API effectuées sur le compte, fournissant les données brutes nécessaires. IAM Access Analyzer peut ensuite analyser ces journaux CloudTrail pour générer automatiquement des politiques IAM basées sur l'activité réelle, garantissant ainsi le principe du moindre privilège avec un effort minimal. L'examen des politiques générées est une étape cruciale pour s'assurer qu'elles correspondent aux exigences métier et qu'elles n'introduisent pas de régressions. Les autres options sont moins optimales : Utiliser Amazon CodeGuru pour profiler les fonctions Lambda est utile pour l'optimisation des performances et la détection de failles de sécurité, mais il n'est pas conçu pour générer des politiques IAM basées sur l'activité réelle des API. Écrire un script pour analyser les journaux CloudTrail est possible mais demande un effort de développement et de maintenance important, ce qui est moins efficace que d'utiliser IAM Access Analyzer. Utiliser Amazon EMR pour traiter les journaux CloudTrail est une solution surdimensionnée et coûteuse pour cette tâche spécifique, nécessitant une expertise et des ressources supplémentaires par rapport à IAM Access Analyzer.