Un audit di sicurezza esterno ha rilevato che molti ruoli di esecuzione di AWS Lambda in un'applicazione serverless hanno policy IAM eccessivamente ampie (ad esempio, accesso completo a S3 e DynamoDB). L'azienda desidera che ogni funzione abbia solo le autorizzazioni minime necessarie. Un architetto di soluzioni deve determinare le autorizzazioni esatte richieste da ciascuna funzione Lambda con il minimo sforzo. Cosa dovrebbe fare l'architetto?

L'opzione corretta è la più efficiente e automatizzata per raggiungere l'obiettivo. Abilitare AWS CloudTrail registra tutte le chiamate API effettuate nell'account, fornendo i dati necessari. IAM Access Analyzer può quindi analizzare questi log di CloudTrail per generare policy IAM con il minimo privilegio basate sull'attività effettiva delle funzioni Lambda. Questo riduce significativamente lo sforzo manuale rispetto alla creazione di policy da zero o all'analisi manuale dei log. La revisione delle policy generate è fondamentale per garantire che soddisfino i requisiti aziendali e non introducano interruzioni. Le altre opzioni sono meno efficienti: Utilizzare Amazon CodeGuru è utile per l'ottimizzazione del codice e la rilevazione di vulnerabilità, ma non è il metodo primario per generare policy IAM basate sull'attività delle API. Scrivere uno script per analizzare i log di CloudTrail è un approccio manuale che richiede tempo e competenze di scripting. Utilizzare Amazon EMR per elaborare i log di CloudTrail è un approccio eccessivamente complesso e costoso per questo specifico caso d'uso, che può essere gestito più semplicemente con IAM Access Analyzer.