Dopo il deployment in produzione, gli eventi S3 negli ambienti di sviluppo hanno iniziato a invocare le funzioni Lambda di produzione, causando esecuzioni indesiderate. Il team deve interrompere le invocazioni tra ambienti e seguire le best practice di sicurezza. Quale soluzione soddisfa questi requisiti?

La separazione degli ambienti di sviluppo e produzione in account AWS distinti è una best practice di sicurezza fondamentale, che previene l'interferenza tra ambienti e limita la portata dei problemi. Una policy di risorsa sulla funzione Lambda di produzione, che consente le invocazioni solo da bucket S3 nello stesso account, garantisce che solo gli eventi S3 pertinenti (cioè quelli di produzione) possano attivarla. Aggiornare il ruolo di esecuzione della Lambda di produzione per consentire la lettura solo del bucket S3 di produzione non impedisce l'invocazione da parte di eventi S3 di sviluppo; controlla solo le autorizzazioni della Lambda per accedere ad altre risorse. Aggiungere una policy di risorsa alla Lambda di produzione che consenta l'invocazione solo dal bucket S3 di produzione è un passo nella giusta direzione, ma non affronta la separazione degli ambienti, lasciando comunque una potenziale vulnerabilità. Spostare gli ambienti in account separati e aggiornare il ruolo di esecuzione della Lambda per consentire la lettura solo del bucket S3 nello stesso account è incompleto; il ruolo di esecuzione non controlla chi può invocare la Lambda, ma solo le sue autorizzazioni.