De code voor een Lambda-functie is opgeslagen in een S3-bucket en moet worden geïmplementeerd in meerdere AWS-accounts in dezelfde regio. Een CloudFormation-template wordt in elk account uitgevoerd om de functie te implementeren. Wat is de MEEST veilige manier om CloudFormation de Lambda-code uit de S3-bucket te laten ophalen?

De CloudFormation-servicerol heeft de benodigde machtigingen (S3 ListBucket en GetObject) nodig om de Lambda-code uit de S3-bucket te kunnen lezen. Een S3-bucketbeleid met specifieke AWS-accountnummers als principals zorgt voor een veilige toegang, omdat alleen de geautoriseerde accounts de code kunnen ophalen. De optie met principal "" (iedereen) is onveilig omdat het iedereen toegang geeft tot de code. Service-linked permissions zijn niet van toepassing op het ophalen van code door CloudFormation; ze worden gebruikt voor specifieke AWS-services om namens u acties uit te voeren. Bovendien heeft de Lambda-functie zelf geen S3-machtigingen nodig om de code te implementeren; CloudFormation heeft die nodig.