Un'applicazione utilizza più funzioni AWS Lambda per recuperare dati sensibili da un singolo bucket Amazon S3. L'azienda deve garantire che solo le funzioni Lambda autorizzate possano accedere ai dati, seguendo il principio del privilegio minimo. Quale soluzione soddisfa questi requisiti?

La creazione di un ruolo IAM individuale per ogni funzione Lambda e la concessione dei permessi specifici necessari a ciascun ruolo per accedere al bucket S3 è la soluzione che meglio aderisce al principio del privilegio minimo. Questo approccio garantisce che ogni funzione abbia solo i permessi indispensabili per svolgere il proprio compito, riducendo il rischio in caso di compromissione di una funzione. Le altre opzioni sono meno sicure o meno pratiche: Concedere l'accesso completo a tutte le funzioni tramite un ruolo IAM condiviso viola il principio del privilegio minimo, poiché tutte le funzioni avrebbero accesso completo, anche quelle che non ne hanno bisogno. Configurare l'accesso basato sugli indirizzi IP degli endpoint VPC delle funzioni Lambda è complesso da gestire e meno granulare rispetto ai ruoli IAM, oltre a non essere il metodo standard per l'autorizzazione tra servizi AWS. Configurare una policy del bucket basata sugli ARN delle funzioni Lambda non è un metodo diretto per concedere permessi tra servizi; i permessi vengono tipicamente gestiti tramite i ruoli di esecuzione IAM associati alle funzioni.