Een aangepaste AWS Config-regel gebruikt een Lambda-functie om Amazon ECR-repositorybeleid te controleren op statements die ecr:* acties toestaan. Wanneer een niet-compliant repository wordt gevonden, routeert EventBridge de melding via SNS naar een beveiligingsteam. De Lambda-functie wordt niet uitgevoerd tijdens regelevaluaties. Welke wijziging lost het probleem op?

De Lambda-functie wordt niet uitgevoerd omdat AWS Config niet de benodigde toestemming heeft om deze aan te roepen. Het resource-based beleid van de Lambda-functie bepaalt wie de functie mag aanroepen. Door dit beleid bij te werken om AWS Config als principal toe te voegen, krijgt AWS Config de autorisatie om de Lambda-functie te triggeren wanneer de aangepaste regel wordt geëvalueerd. Het wijzigen van het SNS-topicbeleid (optie 2) is niet relevant voor het uitvoeringsprobleem van de Lambda-functie; dit beleid regelt wie berichten naar het SNS-topic mag publiceren. Het toevoegen van machtigingen aan de uitvoeringsrol van de Lambda-functie (optie 3) is ook niet de oplossing, omdat dit de machtigingen zijn die de Lambda-functie zelf nodig heeft om andere AWS-services aan te roepen, niet de machtigingen die AWS Config nodig heeft om de Lambda-functie aan te roepen. Het wijzigen van ECR-repositorybeleidsregels (optie 4) is eveneens onjuist, aangezien dit de toegang tot ECR-repositories regelt, niet de uitvoering van de Lambda-functie door AWS Config.