Un'azienda sta implementando un carico di lavoro serverless. Un architetto di soluzioni deve seguire il principio del privilegio minimo (least privilege) durante la configurazione delle autorizzazioni per una funzione AWS Lambda. Una regola Amazon EventBridge (Amazon CloudWatch Events) richiamerà la funzione. Quale soluzione soddisfa questi requisiti?

La risposta corretta è "Aggiungere una policy basata sulle risorse alla funzione con lambda:InvokeFunction come azione e Service: events.amazonaws.com come principal." Questo perché una policy basata sulle risorse (resource-based policy) è il meccanismo appropriato per concedere a un servizio AWS (come EventBridge) il permesso di invocare una funzione Lambda. Specificare lambda:InvokeFunction come azione aderisce al principio del privilegio minimo, concedendo solo l'autorizzazione necessaria per l'invocazione. Service: events.amazonaws.com identifica EventBridge come il principal autorizzato. Le opzioni che menzionano l'aggiunta di un ruolo di esecuzione (execution role) alla funzione sono errate perché il ruolo di esecuzione definisce le autorizzazioni che la funzione Lambda ha per interagire con altri servizi AWS, non chi può invocarla. Le opzioni che usano lambda: come azione violano il principio del privilegio minimo, concedendo più permessi del necessario.