개발자가 이미지 처리를 위해 S3 이벤트 알림을 사용하여 Lambda 함수를 호출합니다. 동일한 AWS 계정에 개발 S3 버킷과 Lambda, 그리고 프로덕션 S3 버킷과 Lambda가 있습니다. 개발 버킷에 업로드된 파일이 잘못 프로덕션 Lambda를 호출하고 있습니다. 개발자는 개발 업로드가 프로덕션에 영향을 미치지 않도록 최소한의 방해로 조치해야 합니다. 개발자는 무엇을 해야 할까요?

개발 및 프로덕션을 별도의 AWS 계정으로 분리하는 것은 환경 간의 격리를 보장하는 가장 강력한 방법입니다. 이렇게 하면 개발 S3 버킷이 프로덕션 Lambda를 실수로 호출하는 것을 원천적으로 방지할 수 있습니다. 또한, Lambda 함수에 리소스 기반 정책을 추가하여 해당 계정 내의 S3 버킷에 의해서만 호출될 수 있도록 제한하면 보안이 더욱 강화됩니다. 다른 옵션들은 불충분하거나 더 많은 복잡성을 야기할 수 있습니다. 프로덕션 Lambda의 실행 역할을 수정하는 것은 호출 자체를 막지 못하고, S3 버킷 정책을 추가하는 것은 구성 오류의 여지가 있으며, 별도 계정으로 이동하더라도 리소스 기반 정책이 없으면 여전히 교차 계정 호출의 위험이 남아있을 수 있습니다.