Un'applicazione serverless utilizza Amazon API Gateway, AWS Lambda e Amazon DynamoDB. La funzione Lambda necessita delle autorizzazioni per leggere e scrivere nella tabella DynamoDB. Quale soluzione fornirà alla funzione Lambda l'accesso alla tabella DynamoDB nel modo PIÙ sicuro?

La soluzione più sicura è utilizzare un ruolo IAM per la funzione Lambda. Un ruolo IAM fornisce credenziali temporanee che vengono automaticamente ruotate, eliminando la necessità di gestire chiavi di accesso a lungo termine. La funzione Lambda assume questo ruolo al momento dell'esecuzione, ottenendo le autorizzazioni definite nella policy allegata al ruolo. Le altre opzioni sono meno sicure: Creare un utente IAM e archiviare le chiavi di accesso nelle variabili d'ambiente di Lambda espone le credenziali a rischi di sicurezza se la configurazione della funzione viene compromessa. Archiviare le chiavi di accesso in AWS Systems Manager Parameter Store è più sicuro delle variabili d'ambiente, ma richiede comunque la gestione di credenziali a lungo termine e un codice aggiuntivo per recuperarle, rendendolo meno efficiente e sicuro rispetto all'uso di un ruolo di esecuzione. Creare un ruolo IAM con DynamoDB come servizio attendibile non è corretto; il servizio attendibile deve essere Lambda, poiché è Lambda che assumerà il ruolo.