Lambda 함수의 코드가 S3 버킷에 저장되어 있으며, 동일한 리전의 여러 AWS 계정에 배포되어야 합니다. 각 계정에서 CloudFormation 템플릿이 실행되어 함수를 배포할 것입니다. CloudFormation이 S3 버킷에서 Lambda 코드를 검색하도록 허용하는 가장 안전한 방법은 무엇입니까?

이 방법은 CloudFormation이 S3 버킷에서 Lambda 코드를 안전하게 가져올 수 있도록 합니다. CloudFormation 서비스 역할에 필요한 S3 권한(ListBucket 및 GetObject)을 부여하고, S3 버킷 정책을 사용하여 코드를 배포할 특정 AWS 계정만 버킷에 접근할 수 있도록 제한합니다. 이는 최소 권한 원칙을 따르며, 승인된 계정만 코드에 접근하도록 보장하여 보안을 강화합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. "principal """을 사용하는 S3 버킷 정책은 모든 AWS 계정의 접근을 허용하여 보안 위험이 큽니다. 서비스 연결 권한은 특정 AWS 서비스가 다른 서비스와 상호 작용할 때 사용되는 특별한 유형의 IAM 역할이며, 이 시나리오에서는 CloudFormation이 S3에서 코드를 가져오는 데 직접적으로 적용되지 않습니다. Lambda 함수에 권한을 부여하는 것은 CloudFormation이 코드를 가져오는 것과는 별개의 문제입니다.