Een bedrijf moet dagelijks een beveiligingsrapport automatiseren. Een AWS Lambda-functie in us-west-2 leest Amazon Inspector-bevindingen die zijn opgenomen in AWS Security Hub en wordt op een schema geactiveerd door Amazon EventBridge. De functie slaagt er niet in om het rapport te genereren. Geef een oplossing met minimale privileges. Welke oplossing voldoet aan deze vereisten?

De Lambda-functie heeft machtigingen nodig om de bevindingen van Amazon Inspector uit AWS Security Hub te kunnen lezen. Door de Lambda execution role alleen-lezen-machtigingen te verlenen voor zowel Amazon Inspector als AWS Security Hub, kan de functie de benodigde gegevens ophalen om het rapport te genereren. Dit voldoet aan het principe van minimale privileges, omdat het alleen de noodzakelijke acties toestaat. Optie 1 is onjuist omdat een resource-based policy op de Lambda-functie zou bepalen wie de functie mag aanroepen, niet welke services de functie mag benaderen. Optie 2, het koppelen van de AWS beheerde policy AWSSecurityHubReadOnlyAccess, is te beperkt. De functie moet ook toegang hebben tot Inspector-bevindingen, die via Security Hub worden gelezen. Optie 4 is te specifiek en potentieel onvolledig. Het verlenen van alleen-lezen-machtigingen voor de services is een bredere en correctere aanpak.