Une fonction Lambda dans un compte partagé doit appeler ec2:DescribeInstances dans plusieurs comptes de développement. Pour respecter le principe du moindre privilège, comment les autorisations doivent-elles être configurées entre les comptes ?

La bonne approche pour le moindre privilège dans un scénario inter-comptes est de créer un rôle IAM dans chaque compte cible (les comptes de développement) avec les autorisations spécifiques nécessaires (ec2:DescribeInstances). Ce rôle doit avoir une politique de confiance qui permet au compte appelant (le compte partagé) d'assumer ce rôle. Ensuite, le rôle d'exécution de la fonction Lambda dans le compte partagé doit se voir accorder la permission iam:AssumeRole pour assumer ces rôles spécifiques dans les comptes de développement. Cela garantit que la fonction Lambda n'a pas d'autorisations directes dans les comptes de développement, mais peut temporairement assumer un rôle avec les autorisations requises, respectant ainsi le principe du moindre privilège. Les autres options sont incorrectes car : Créer un rôle dans le compte partagé et faire confiance aux comptes de développement ne permet pas à la fonction Lambda d'accéder aux ressources des comptes de développement. Accorder ec2:DescribeInstances directement au rôle d'exécution de la fonction Lambda dans le compte partagé ne lui donne pas accès aux ressources des autres comptes. Ajouter ec2:DescribeInstances au rôle d'exécution de la fonction Lambda dans le compte partagé ne lui donne pas non plus accès aux ressources des autres comptes, même si un rôle est créé dans les comptes de développement.