Una regola AWS Config personalizzata utilizza una funzione Lambda per controllare le policy dei repository Amazon ECR alla ricerca di istruzioni che consentano azioni ecr:*. Quando viene rilevato un repository non conforme, EventBridge instrada la notifica tramite SNS a un team di sicurezza. La funzione Lambda non viene eseguita durante le valutazioni delle regole. Quale modifica risolve il problema?

La risposta corretta è aggiornare la policy basata sulle risorse della funzione Lambda per consentire ad AWS Config di richiamare la funzione. Le regole AWS Config personalizzate che utilizzano funzioni Lambda richiedono che la policy di autorizzazione della funzione Lambda (policy basata sulle risorse) includa un'istruzione che consenta al servizio config.amazonaws.com di invocare la funzione. Senza questa autorizzazione esplicita, AWS Config non può eseguire la funzione Lambda, causando il mancato avvio delle valutazioni. Le altre opzioni sono errate perché: Modificare la policy dell'argomento SNS per consentire a EventBridge di pubblicare eventi è irrilevante per l'esecuzione della funzione Lambda. Questo riguarda la consegna delle notifiche dopo che la valutazione è avvenuta. Aggiungere le autorizzazioni richieste al ruolo di esecuzione della funzione Lambda è necessario per le azioni che la funzione Lambda deve eseguire (es. leggere le policy ECR), ma non per AWS Config per invocare la funzione stessa. Modificare le policy del repository ECR per concedere ad AWS Config l'accesso è errato. AWS Config non accede direttamente ai repository ECR per la valutazione; la funzione Lambda lo fa utilizzando le proprie autorizzazioni.