Een applicatie gebruikt meerdere AWS Lambda-functies om gevoelige gegevens op te halen uit één Amazon S3-bucket. Het bedrijf moet ervoor zorgen dat alleen geautoriseerde Lambda-functies toegang hebben tot de gegevens, volgens het principe van minimale privileges. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het aanmaken van een individuele IAM-rol voor elke Lambda-functie en deze rol toe te wijzen als de execution role. Dit is de meest veilige en granulaire aanpak, omdat het voldoet aan het principe van minimale privileges. Elke Lambda-functie krijgt alleen de specifieke rechten die nodig zijn voor de S3-bucket, en geen andere functies kunnen die rechten misbruiken. De optie om volledige S3-buckettoegang te verlenen aan alle Lambda-functies via een gedeelde IAM-rol is onveilig en schendt het principe van minimale privileges. Het configureren van Lambda-functies binnen een VPC en het gebruik van IP-adressen in een bucket policy is minder flexibel en complexer te beheren, vooral bij schaalverandering of wijzigingen in de VPC-configuratie. Lambda-functies krijgen dynamische IP-adressen, wat deze aanpak ongeschikt maakt. Het configureren van een bucket policy die toegang verleent op basis van function ARNs is niet mogelijk. S3 bucket policies kunnen geen toegang verlenen op basis van Lambda function ARNs; ze werken met IAM principals (gebruikers, rollen) of AWS-serviceprincipals.