Une application utilise plusieurs fonctions AWS Lambda pour récupérer des données sensibles à partir d'un seul compartiment Amazon S3. L'entreprise doit s'assurer que seules les fonctions Lambda autorisées peuvent accéder aux données, en suivant le principe du moindre privilège. Quelle solution répond à ces exigences ?

La création d'un rôle IAM individuel pour chaque fonction Lambda, avec des autorisations spécifiques pour le compartiment S3, est la meilleure solution pour appliquer le principe du moindre privilège. Cela garantit que chaque fonction n'a accès qu'aux ressources dont elle a besoin, et pas plus. L'utilisation d'un rôle IAM partagé (option 1) viole le principe du moindre privilège en accordant un accès potentiellement excessif. Configurer l'accès basé sur les adresses IP des points de terminaison VPC (option 2) est complexe et moins flexible, car les adresses IP peuvent changer ou être partagées, et cela ne gère pas l'identité de la fonction. Configurer une politique de compartiment basée sur les ARN de fonction (option 4) est une approche valide pour l'autorisation, mais elle est généralement combinée avec des rôles IAM pour une gestion plus granulaire et sécurisée des identités et des permissions.