サーバーレスアプリケーション（1つのLambda関数と1つのS3バケット）がAWS SAMでデプロイされています。Lambda関数はS3バケットへの読み取りアクセスのみを必要とします。SAMテンプレートで関数に必要な読み取り権限を付与するにはどうすればよいですか？

Lambda関数にS3バケットへの読み取りアクセスのみを許可するには、関数の実行ロールに適切なIAMポリシーをアタッチするのが最も安全で推奨される方法です。AWS SAMテンプレートでは、S3ReadPolicyのようなマネージドポリシーをLambda関数の実行ロールに直接追加できます。これにより、関数が必要な権限のみを持つ最小特権の原則が守られます。 他の選択肢は不適切です。LambdaオーソライザーはAPI Gatewayの認証に使用され、S3アクセス権限とは関係ありません。カスタムS3バケットポリシーはS3バケットへのアクセスを制御しますが、Lambda関数に直接権限を付与する主要なメカニズムではありません。Amazon SQSトピックはメッセージキューイングサービスであり、S3アクセス権限の管理には使用されません。