Een bedrijf implementeert een serverless workload. Een solutions architect moet het least privilege-principe volgen bij het configureren van permissies voor een AWS Lambda-functie. Een Amazon EventBridge (Amazon CloudWatch Events)-regel zal de functie aanroepen. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is het toevoegen van een resource-based policy aan de Lambda-functie met lambda:InvokeFunction als de actie en Service: events.amazonaws.com als de principal. Dit voldoet aan het least privilege-principe omdat het specifiek EventBridge toestaat om de functie aan te roepen (InvokeFunction), en geen andere acties of services. De eerste twee opties zijn onjuist omdat ze spreken over een execution role. Een execution role definieert de permissies die de Lambda-functie zelf heeft om andere AWS-services aan te roepen, niet wie de Lambda-functie mag aanroepen. Bovendien zou als principal (eerste optie) een te brede permissie zijn, en Service: lambda.amazonaws.com (tweede optie) is niet de service die de functie aanroept. De derde optie is onjuist omdat lambda: als actie te breed is en niet voldoet aan het least privilege-principe. Het zou EventBridge toestaan om alle acties op de Lambda-functie uit te voeren, wat onnodig is.