Une règle AWS Config personnalisée utilise une fonction Lambda pour vérifier les politiques de référentiel Amazon ECR à la recherche de déclarations autorisant les actions ecr:*. Lorsqu'un référentiel non conforme est trouvé, EventBridge achemine la notification via SNS à une équipe de sécurité. La fonction Lambda ne s'exécute pas lors des évaluations de règles. Quel changement résout le problème ?

La fonction Lambda ne s'exécute pas car AWS Config n'a pas l'autorisation de l'invoquer. Une politique basée sur les ressources attachée à la fonction Lambda est nécessaire pour accorder à AWS Config l'autorisation lambda:InvokeFunction. Sans cette permission, AWS Config ne peut pas déclencher la fonction pour effectuer les évaluations. Les autres options sont incorrectes car : Modifier la politique de rubrique SNS n'affecterait pas l'exécution de la fonction Lambda, mais la livraison des notifications EventBridge à SNS. Ajouter des autorisations au rôle d'exécution de la fonction Lambda est nécessaire pour que la fonction puisse interroger les politiques ECR, mais cela ne résout pas le problème d'invocation de la fonction par AWS Config. Modifier les politiques de référentiel ECR n'est pas pertinent pour l'exécution de la fonction Lambda ou son invocation par AWS Config.