共有アカウントのLambda関数が、複数の開発アカウントでec2:DescribeInstancesを呼び出す必要があります。最小権限の原則に従うには、アカウント間で権限をどのように設定すべきですか？

この設定は、最小権限の原則に最も合致しています。各開発アカウントにec2:DescribeInstances権限を持つIAMロールを作成することで、その権限が特定の開発アカウントに限定されます。共有アカウントのLambda関数は、iam:AssumeRole権限を使用してこれらのロールを引き受けることで、必要な開発アカウントに対してのみec2:DescribeInstancesアクションを実行できます。これにより、Lambda関数が不必要に広範な権限を持つことを防ぎます。 他の選択肢は、共有アカウントに広範な権限を持たせたり、信頼関係の設定が不適切であったりするため、最小権限の原則に反します。例えば、共有アカウントのLambda実行ロールに直接ec2:DescribeInstancesを追加すると、すべての開発アカウントに対してこの権限を持つことになり、セキュリティリスクが高まります。